मेरा वेब एपीआई सुरक्षित बनाना?

Question

मैं एक साधारण वेब एपीआई बना रहा हूं जो जेसन लौटाता है।

यह सरल क्रूड ऑपरेशंस करेगा।

उपयोगकर्ताओं को प्रमाणीकृत करने का सबसे अच्छा तरीका क्या है, ओएथ यहां मुख्य सिफारिश है, लेकिन मैं कुछ ढूंढ रहा हूं जो मैं स्वयं को, टोकन आधारित और एपीआई कुंजी को कार्यान्वित कर सकता हूं ??

कोई भी विचार सुझाव सुझावों बहुत अच्छा होगा, धन्यवाद

अद्यतन: भूल का उल्लेख, इस एपीआई अभ्यस्त सामान्य comsumption के लिए हो सकता है, इसकी सिर्फ अपने खुद के इस्तेमाल के लिए है, लेकिन मुझे यकीन है कि किसी को बनाने के लिए नहीं कर सकते भी आसानी से अगर में मिलता है चाहता हूँ वे उस पर ठोकरें।

Answer 1

सबसे अच्छा एपीआई बनाने के लिए सबसे पहले आपको यह देखने के लिए अन्य लोगों के एपीआई का उपयोग करना चाहिए कि वे कैसे काम करते हैं। रीस्टफुल करने के लिए एक एपीआई कुंजी का उपयोग किया जाता है, जो कि वास्तव में एक बहुत ही यादृच्छिक संख्या या "क्रिप्टोग्राफिक नॉन" है। लेकिन वास्तव में यह उपयोगकर्ताओं की प्रमाणीकरण जानकारी देखने के लिए अमर सत्र आईडी की तरह है, जो कि महान नहीं है। ओथ बहुत अच्छा है, अगर आप चाहते हैं कि आपकी खुद की प्रणाली केर्बेरोज बहुत सुरक्षित है।

यह hijack json responses है, जो जेसन के खिलाफ एक झगड़ा है। यदि प्रत्येक अनुरोध के लिए API कुंजी आवश्यक है, तो हमलावर इस विधि का उपयोग नहीं कर सकता है।