Web Service客户端证书的解决方案/auth最佳实践

Question

我有一个简单的Web服务，该服务具有API第三方开发人员的访问权限。 API主要遵循休息原则。

我对解决方案感兴趣，可以通过要求开发人员使用客户端证书来使API更安全。您是否有任何开源解决方案或其他实施建议可以使用AUTH的用户级证书来帮助基于REST的API？

Answer 1

我的通用建议是使您的API与您的身份验证例程分开。您的Web服务器应为您处理交互。

客户认证方案的解决方案取决于您的环境。您尚未在此处发布，但是似乎有针对性的Google搜索应该使您了解必要的内容。

由于您为其他方提供了API，因此您确实对这些开发人员的环境支持有所考虑。您的休息基础表现良好，大多数编程环境都会与这些环境相当互操作。

客户证书支持可能会在环境，平台等之间的支持效率方面有所不同。此外，当您需要证书时，您现在会影响客户端实现。这几乎可以肯定会让您处于要求您支持客户并通过API启动并运行的能力。这意味着熟悉其他语言，网络服务器，框架等。

Answer 2

Python HTTP库支持 客户证书, ，就像位于其顶部的Urllib库一样。