在今天的互联网世界中，越来越多的应用程序都依赖于 RESTful API。而在这些应用程序中，用户身份验证是非常重要的一部分。没有良好的身份验证机制，未经授权的用户很容易就可以获取到应用程序中的机密信息。因此，我们需要在 RESTful API 中使用安全的身份验证机制。
本文将会介绍在 RESTful API 中实现安全的身份验证的一些最佳实践和方法。本文的重点将会是学习和指导。我们会介绍一些通用的概念和指导方针，并且将使用 Node.js 代码示例来演示具体的实现方法。
RESTful API 中的身份验证
在 RESTful API 中，身份验证是确保用户身份的一个过程。这个过程通常需要用户提供一些标识信息（例如用户名和密码），并且我们需要通过这些信息来验证用户的身份。
RESTful API 中常见的身份验证方法包括：
- HTTP Basic 身份验证
- HTTP Bearer 身份验证
- JSON Web Token（JWT）身份验证
使用这些身份验证方法的过程中，我们需要注意一些安全问题。
安全地进行身份验证
在使用 RESTful API 进行身份验证时，需要注意以下问题，以确保我们提供的身份验证机制是安全的。
使用加密的连接
为了防止未经授权的用户截获传输的敏感信息，我们应该使用加密的连接来进行所有的 RESTful API 调用。这意味着我们应该将 HTTPS 认证方式用于所有的 RESTful API 调用。
存储密码的哈希
我们需要确保用户密码不会被恶意方访问。为了保护用户密码，我们应该将密码哈希。这意味着，我们不应该在数据库中存放用户的原始密码。存储在密码库中的密码是经过哈希处理的密码。只有在验证用户密码时，我们才会将用户提供的密码哈希，然后与数据库中存储的哈希进行比较。
限制登录尝试次数
一个常见的攻击方法是使用大量尝试登录的方式来猜测用户密码。我们需要在 RESTful API 中采取措施来限制登录尝试次数。这意味着，当用户登录失败次数达到一定次数时，我们应该暂时禁用该用户的登录。这可以防止攻击者进行暴力攻击。
自定义令牌
在某些情况下，使用自定义令牌可以更安全地进行身份验证。使用自定义令牌时，可以为每个用户生成一个唯一的令牌。在每个 API 调用中，都会将此令牌包含在请求中。这种方法可以防止攻击者通过窃取用户的密码来获取身份验证。如果令牌被盗，则可以在令牌过期之前撤销令牌。
在 Node.js 中实现身份验证
下面的代码演示了如何在 Node.js 中实现 JWT 身份验证。Token 根据任意种类的负载生成，包括数据库查询字符串、发送数据到RESTful API，剩下的步骤很容易，是给负载签名，然后使用所描述的中间件路由保护API。下面的代码确保用户必须通过登陆才能访问所需的RESTful API。
-- -------------------- ---- ------- ----- --- - ------------------------ ----- ------ - ------------------ ----- ---------- - ----------------------- ----- ------ - ----------------------------- -- -- --- -- -------- -------------------- - ------ ----------------- -------- - -- ------- -------- --------- ---- ----- - ----- ----- - -------------------------- -- -------- - ---------------------------- ------------ ------- - --- - ----- ------- - ----------------- -------- -------- - -------- ------- - ----- ----- - ---------------------------- ----------- - - -------------- - - ------------ ------------ ----- ------------------- --------- --展开代码
如上述代码所示，允许使用 JWT 来验证 API 请求难度并不大。以一种安全的方式在 RESTful API 中实现身份验证并不是一件难事。只要我们关注安全问题，使用正确的身份验证方法，并按照最佳实践进行实现，我们就可以在 RESTful API 中获得安全的身份验证机制，确保我们的数据得到保护。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67c6bd26cf1e9924e1f1cf79
