在现代 Web 开发中，RESTful API 是一个非常重要的技术。RESTful API 可以让不同的客户端（如 Web 应用、移动应用、桌面应用等）使用统一的接口与服务器通讯，使得后端逻辑与前端展示隔离开来。
但是，RESTful API 与 Web 应用等的区别在于，它并不依赖于 session 等后端状态保存机制，而是通过客户端提供的认证信息（一般是 token）来判断客户端是否有访问权限。
因此，RESTful API 的认证与授权机制至关重要。本文将介绍 RESTful API 的常见认证与授权方案，并提供实例代码。
一、认证方式
1.1 基本认证
基本认证是最简单的一种认证方式。客户端通过在 HTTP 请求中添加 Authorization 头部，将 base64 编码后的用户名和密码发送给服务器进行认证。
示例代码如下：
const authString = 'username:password';
const token = window.btoa(authString);
fetch('/user', {
headers: {
'Authorization': `Basic ${token}`
}
});服务器端处理示例（Node.js）：
-- -------------------- ---- ------- ----- ---------- - ------------------------- -- --- ----- ----- - ------------------ ----- -- --- ----- ---------- - ------------------ --------------------- ----- ---------- --------- - ---------------------- -- --------- --- ------- -- -------- --- ----------- - -- ---- - ---- - -- ---- -
1.2 Bearer Token 认证
Bearer Token 认证是另一种常见的认证方式。它将客户端提供的 token 直接存放在 HTTP 请求的 Authorization 头部中，不过需要在前面添加 Bearer 关键字以表示是 Bearer Token。
示例代码如下：
const token = 'abcdefg';
fetch('/user', {
headers: {
'Authorization': `Bearer ${token}`
}
});服务器端处理示例（Node.js）：
const authHeader = req.headers.authorization || '';
const token = authHeader.split(' ')[1] || '';
if (token === 'abcdefg') {
// 认证通过
} else {
// 认证失败
}1.3 OAuth2 认证
OAuth2 是一种业界广泛使用的认证方式，它将认证和授权分离开来，可以让第三方应用通过授权机制获取用户的资源权限。OAuth2 认证流程比较复杂，需要涉及授权服务器、资源服务器和客户端等多个角色。
如果你需要实现 OAuth2 认证，请参考 RFC 6749。
二、授权方式
2.1 RBAC 模型
RBAC（Role Based Access Control，基于角色的访问控制）是一种在 RESTful API 中广泛使用的访问控制模型。RBAC 模型将系统中的用户划分为不同的角色，然后定义哪些角色可以访问哪些资源或执行哪些操作。
例如，一个网上书店网站可能有三种角色：管理员、用户和游客。管理员有权对数据库中的书籍进行增删改查，用户只能查看，并可以对购物车进行操作，游客只能浏览书籍信息。在这个例子中，管理员拥有最高的权限，用户和游客的权限相对较低。
示例代码如下：
const role = 'user';
fetch('/book/edit', {
headers: {
'X-User-Role': role
}
});服务器端处理示例（Node.js）：
-- -------------------- ---- ------- ----- -------- - -------------------------- -- --- -- --------- --- -------- - -- ------- - ---- -- --------- --- ------- - -- ------ - ---- - -- ------ -
2.2 ACL 模型
ACL（Access Control List，访问控制列表）是另一种常见的访问控制模型。ACL 模型将系统中的用户划分为不同的组，然后定义哪些组对哪些资源或操作拥有访问权限。
例如，一个企业内部文件管理系统可能会将所有员工划分为两个组：普通员工和管理人员。普通员工只能访问自己所在部门的文件，而管理人员可以访问整个公司的文件。在这个例子中，管理人员拥有比普通员工更高的访问权限。
示例代码如下：
const groups = ['engineering', 'design'];
fetch('/file/read', {
headers: {
'X-User-Groups': groups.join(',')
}
});服务器端处理示例（Node.js）：
-- -------------------- ---- ------- ----- ---------- - ---------------------------- -- --- ----- ------ - ---------------------- -- -------------------------- - -- ------- - ---- -- -------------------------------- - -- ------- - ---- -- --------------------------- - -- ------- - ---- - -- ------ -
三、总结
本文介绍了 RESTful API 的认证与授权机制，包括基本认证、Bearer Token 认证、OAuth2 认证、RBAC 模型和 ACL 模型。通过了解和实践这些认证和授权机制，你可以更好的保护你的 API 服务，确保只有提供了有效认证信息或具备访问权限的客户端才能访问。
希望本文能对你有所帮助，如果有任何问题或建议，请随时联系我。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64589e31968c7c53b0af5d2c