Sicurezza e autenticazione nei servizi Web

Question

Diciamo che abbiamo un sito Web che utilizza un servizio Web per tutte le sue funzionalità (ovvero il recupero e l'aggiornamento dei dati da/verso db), in che modo il servizio Web autentica le richieste?

Come ho capito, in un "sito Web" java tradizionale, un utente fornisce un nome utente & password e, in seguito alla convalida, all'utente viene assegnato un jsessionid (browser client). Ogni volta che il browser del client chiede al sito qualcosa, il sito verifica la presenza di jsessionid assicurando che l'utente sia registrato e autenticato. C'è un servizio web equivalente a questo? Se si, cosa?

Answer 1

In genere per i servizi Web la soluzione più semplice è l'autenticazione di base. Per qualcosa di più complesso, "Api Key \ Token" viene passato con ogni richiesta per autorizzare \ autenticare gli utenti. Un'altra soluzione è OAuth.

Twitter ad esempio utilizza l'autenticazione di base e OAuth.

Answer 2

Il mondo del servizio Web è regolato dagli standard ws- *.

See WS-Security:

• http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=wss
• http://en.wikipedia.org/wiki/WS-Security

L'articolo di Wikipedia fornisce una bella panoramica di alto livello, oasi è la sede ufficiale degli standard, e fornisce il dettaglio specifiche.

Answer 3

Il tuo servizio web ha anche bisogno di essere accessibile pubblicamente?

Potrebbe non essere necessario preoccuparsi di complicati schemi di autenticazione se non c'è motivo di consentire al traffico pubblico di raggiungere anche il servizio web.