Autenticazione e sessioni API PHP

Question

Ho un'applicazione PHP che si basa ampiamente sulle sessioni. Stiamo valutando la possibilità di creare un'API per i nostri utenti. I nostri pensieri iniziali sono che gli utenti dovranno autenticarsi contro l'API con il loro indirizzo email, password e una chiave API (unica per ogni utente).

Tuttavia, poiché l'applicazione corrente (inclusi i modelli) si basa ampiamente sulle sessioni utente, non sono sicuro dell'approccio migliore.

Partendo dal presupposto che una richiesta API è correttamente autenticato, sarebbe accettabile:

• avvia la sessione per la chiamata API volta che l'utente è autenticato
• Run modelli e tornare JSON/XML per l'utente
• terminare la sessione

Ciò significa che la sessione viene creata un'istanza per ogni chiamata API, e poi subito arrossì. Va bene? O dovremmo considerare altre alternative?

Answer 1

Nella mia esperienza di creazione di API, ho trovato che le sessioni durano solo per una richiesta e per ricreare le informazioni sulla sessione in ogni ciclo di esecuzione.

Questo ovviamente introduce un sovraccarico se l'istanza della sessione è significativa, tuttavia se si stanno solo controllando le credenziali con un database, dovrebbe essere OK. Inoltre, dovresti essere in grado di memorizzare in cache qualsiasi attività di sollevamento pesante in qualcosa come APC o memcache basata su un identificativo utente piuttosto che su una sessione che riduce il lavoro richiesto per ricreare una sessione, garantendo nel contempo l'autenticazione verificata in ogni richiesta.