在 Web 开发中，经常需要使用 RESTful API 进行数据交互，这时就需要对 API 进行身份验证，以保证数据的安全性和可靠性。本文将介绍 RESTful API 中的身份验证问题，并提供一些解决方案以及相关示例代码。
RESTful API 中的身份验证
RESTful API 是一种基于 HTTP 协议的 API 设计风格，其中的身份验证通常使用基于令牌的方案。即在用户登录时，服务器生成一个唯一的访问令牌（access token），用于标识该用户的身份。然后在每次 API 请求中，将该访问令牌作为认证凭据（credential），以验证用户是否有权访问该 API。
然而，由于 RESTful API 通常需要跨域访问，且多数情况下需要与其他服务进行交互，因此身份验证通常需要考虑以下问题：
- 如何跨域传递认证凭据；
- 如何在多个服务之间共享认证凭据；
- 如何在前端代码中保存认证凭据，以方便下次访问。
下面将分别对这些问题进行解决方案的介绍。
解决方案
跨域传递认证凭据
由于浏览器的安全限制，跨域请求默认不会发送任何认证凭据。因此，要实现跨域传递认证凭据，需要在后端服务器端配置 CORS。
具体来说，需要在服务器端的响应头中添加以下字段：
Access-Control-Allow-Origin: http://example.com Access-Control-Allow-Credentials: true
其中，Access-Control-Allow-Origin 指定前端请求的域名，Access-Control-Allow-Credentials 表示允许发送认证凭据。设置完毕后，前端的 XMLHttpRequest 对象需要添加以下属性：
xhr.withCredentials = true;
即可在跨域请求中发送认证凭据。
多服务共享认证凭据
在多个服务之间共享认证凭据通常可以通过 SSO（Single Sign-On，单点登录）实现。
对于前后端分离的应用，可以使用 OAuth2.0 的 Authorization Code Grant 方案，通过 OAuth2.0 认证服务器颁发的 access token 实现跨服务认证。
具体来说，可以先在认证服务器上设置一个 OAuth2.0 客户端，并在客户端中配置需要访问的 API 服务器的地址和权限。然后在前端进行登录时，将用户名和密码发送到认证服务器进行验证。验证成功后，认证服务器会生成一个含有授权码的 URL 并返回给前端。前端将该 URL 重定向到下面这个 OAuth2.0 协议中的认证服务器获取的服务器端点。
https://auth-server.example.com/auth?key=value&response_type=code&client_id=<client_id>&redirect_uri=<redirect_uri>
成功跳转后，在 API 服务器的后端，通过 Authorization Code 交换 access token。该 access token 还可以包含一个 refresh token，以便实现有效期的管理。
前端保存认证凭据
为了方便下次访问，可以在前端保存 access token 和 refresh token。
在实际应用中，可以通过在登录成功后，在 cookie 或者本地存储中保存 access token 和 refresh token。每次请求时，先检查本地是否存在该信息，若不存在则需要重新登录，否则可以直接使用。
以下是一个在 cookie 中保存 access token 和 refresh token 的示例：
-- -------------------- ---- ------- -------- --------------- ------ ----- - --- ------- - --- -- ------ - --- ---- - --- ------- --------------------------- - ----- - -- - -- - -- - ------- ------- - -- --------- - ------------------- - --------------- - ---- - --- - ----- - ------- - -- -------- - -------- --------------- - --- ------ - ---- - ---- --- -- - --------------------------- --- ---- - - -- - - ---------- ---- - --- - - ------ ----- ------------ -- - -- - - -------------- ---------- -- ------------------ -- -- ------ -------------------------- ---------- - ------ ----- - -- -- ------ ----- - ------- ----- - ------ - ------------------------- --------- --- -------------------------- --------- --- -- ----------- --- --- - --- ----------------- --------------- ------------------------------- ------ ------------------------------------- ------- - - --------------------------- -----------展开代码
总结
本文介绍了 RESTful API 中身份验证的问题，并提供了相应的解决方案和示例代码。当然，在实际应用中还需要做好对 access token 和 refresh token 的有效期、盗用和泄漏等方面的安全保护工作。同时，本文也提供一些相关的学习资料，有关读者可以深入了解。
学习资料
- OAuth2.0 协议：https://tools.ietf.org/html/rfc6749
- OAuth 2.0 授权码授权：https://oauth.net/2/grant-types/authorization-code/
- 阮一峰的 RESTful API 设计指南：http://www.ruanyifeng.com/blog/2011/09/restful.html
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/646f4344968c7c53b0da912e
