随着Web应用程序的发展，RESTful API已成为前端范畴中越来越重要的一部分。有经验的前端开发者都知道，RESTful API 是通过HTTP请求从服务器获取数据的一种方式。然而，安全性是Web应用程序中非常重要的因素之一。因此，大多数API都需要身份验证才能使用。本文将介绍RESTful API遇到身份验证问题后的解决方案。
什么是RESTful API
REST即Representational State Transfer的缩写，是一种Web架构风格，它使用HTTP协议，以便在客户端和服务器之间传输资源。RESTful API是人们考虑如何使用REST风格或原则建立的API。RESTful API使用HTTP方法(GET、POST、PUT、DELETE)来获取/提交/更新/删除资源，并使用HTTP响应来包含状态信息和返回响应数据。
为何身份验证如此重要？
开发者设计API时，通常会通过身份验证保护它们。实际上，API是否需要进行身份验证取决于API提供的内容。例如，访问用户信息、查看特定列表、存储文件等都需要进行身份验证，以保护用户数据和保证API的安全性。
查询是否需要身份验证的最简便方法是查看API文档。 如果API中包含敏感信息，则需要进行身份验证。 使用用户名和密码作为身份验证方式的API相对来说较为普遍：一旦用户登录，他们的用户名和密码就会传递到需要验证的API中，以验证请求是否真正来自该用户。
RESTful API中的身份验证
当API需要进行身份验证时，它需要检查用户是否拥有足够的权限才能执行请求的行动。前端开发者在应用程序中实现身份验证时需要注意以下几点：
密码应该加密。一种常见的提高安全性的方式是将密码加密之后再传递给API。这可以防止第三方获取该请求，以及防止非法访问。
传输协议应该是安全的。使用加密通讯协议(如SSL/TLS)可以保护传输过程中的数据，并保证用户的隐私不会被泄露。
API密钥应该保密。对于某些API，开发者需要使用API密钥来进行身份验证。建议将密钥保存在服务器端，而非客户端，以便保护API。同时，限制API的调用者并设置访问权限也可以有效的保护API本身的安全性。
下面列举几种常见的RESTful API身份验证方法。
1. HTTP认证
HTTP基础认证：在HTTP报头中传递用户名和密码。它使用HTTP协议的基础64位编码，在传输过程中不加密密码，因此它不适用于发送敏感的信息。 例如：
Authorization: Basic am9oblNlY3VyZUFkbWluOnN1cGVyc2VjcmV0
它以Base64格式的用户凭据为基础，包括用户名和密码：
username:password
2. Token认证
Token认证常常用于从服务器或第三方服务中获得登录许可。一旦用户成功登录，调用者将在请求中包含该令牌。服务器在每次请求中检查该令牌是否有效，以保护API的安全性。例如JSON Web Token(JWT)。
JWT由三部分组成，由“点”分隔符隔开，例如：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VybmFtZSI6ImFkbWluIiwidXNlcl9pZCI6MTR9.ghCfAnCU6i4oD4X4Ro1lH0ZZzKRjd2LuOY1SscyBwyI
第一部分是header，其包括了算法和类型。第二部分是payload，其包括了实际的数据，包括用户ID和用户名等。第三部分是signature，是为了防止篡改数据而产生的数字签名。
3. OAuth2认证
OAuth2是一种流行的认证方式，它允许用户授权第三方应用程序访问他们的Web资源。 OAuth2典型的流程如下：
用户通过第三方应用程序登录，并授权应用程序可以访问他们的资源。
应用程序接收到授权码，然后通过该授权码要求服务器颁发令牌来访问资源，如令牌刷新、刻度令牌等。
应用程序使用许可令牌来获取对防火墙受保护的资源的访问。应用程序也可以使用令牌范围或许可证处理其他授权信息，如自动化或延迟访问。
OAuth2允许第三方应用程序安全访问用户信息，而不需要知道或存储用户的密码。
示例代码：
下面是一个使用JSON Web Token(JWT)进行身份验证的示例代码。 Node.js应用程序作为后端服务器，前端发送身份验证请求并在请求中包含JWT令牌。服务器对JWT令牌进行验证，如果令牌有效，则返回成功的响应；否则返回错误响应。
安装依赖
使用以下命令安装所需模块：
npm install express jsonwebtoken
服务器端代码实现
-- -------------------- ---- -------
----- ------- - -------------------
----- --- - ----------
----- --- - ------------------------
----- --------- - --------------
------------------------
---------------------- ----- ---- -- -
-- ----- -- --- ---- -- ----------
----- -------- - ------------------
----- -------- - ------------------
-- --------- --- ----------- - -- -- --------- ---- ------ ----- ------- --- -------- -- ------ -- --- -------- ------ ---- ------ -- ----- ------ ------- ----------
-- ------ - --- --- -----
----- ----- - ---------- -------- -- -----------
-- ------ --- ----- -- --- --------
---------- ----- ---
- ---- -
-- ------- -------- -- --------
--------------------
-
---
-- ---------- --- --- ------------
-------- ---------------- ---- ----- -
-- --- --- ----- ---- --- ------- ------
----- ----- - --------------------------------- ------
--- -
-- ------ --- -----
----- ------- - ----------------- -----------
-------- - --------
-------
- ----- --- -
--------------------
-
-
-------------------- ------------ ----- ---- -- -
-- ------ ---- -- --- ----- -- -----
----- ---- - -
-------- ------ --------
----- -----------------
--
---------------
---
-- ----- --- ------
---------------- -- -- ------------------- ------- -- ---- -------客户端代码实现
-- -------------------- ---- -------
------------------- -
------- -------
-------- -
--------------- ------------------
--
----- ---------------- --------- ------------- --------- ---------- --
--
-------------- -- -
-- ------------- -
------ ----------------
- ---- -
----- --- ------------- -- --- -----
-
--
---------- -- -
-- ---- --- ----- -------
----------------------------- ------------
-- ---- - ------- -- --- --------- --- --------
------------------ -
-------- -
---------------- ------- --------------
-
--
-------------- -- -
-- ------------- -
------ ----------------
- ---- -
----- --- ------------- -- ----- -------
-
--
---------- -- -
-- --- --- ---- ---- --- ------ --------
------------------
--
------------ -- ----------------------------
--
------------ -- ----------------------------结论
RESTful API是一种在Web应用程序开发中非常重要的技术。在使用RESTful API时，开发者需要考虑API的安全性问题，因此身份验证是非常重要的。本文介绍了几种RESTful API的身份验证方法(JWT、OAuth2等)以及如何在应用程序中实现它们的方法。希望这些信息能对你有所帮助，使你更好地理解RESTful API的身份验证方法。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6703ab24d91dce0dc84c1625