Решения для сертификатов клиентов веб -службы/лучших практик AUTH

Question

У меня есть простой веб -сервис, в котором разрешены сторонние разработчики API. API в основном следует принципам отдыха.

Я заинтересован в решении, чтобы сделать API более безопасным, требуя, чтобы разработчики использовали клиентские сертификаты. Есть ли какие -либо решения с открытым исходным кодом или другие рекомендации по реализации, которые есть из вас, которые помогут в API на основе REST с использованием сертификатов пользовательского уровня для AUTH?

Answer 1

Мой общий совет - держать ваш API отдельно от ваших процедур аутентификации. Ваш веб -сервер должен обрабатывать взаимодействие для вас.

Решения для вашей стороны сценария сертификации клиента зависят от вашей среды. Вы не опубликовали это здесь, но, кажется, целевой поиск Google должен дать вам представление о том, что необходимо.

Поскольку вы предоставляете API другим сторонам, у вас есть некоторое внимание в отношении поддержки окружающей среды для этих разработчиков. У вас все хорошо с основой отдыха, и большинство средств программирования будут взаимодействовать с ними довольно хорошо.

Поддержка сертификатов клиента, вероятно, изменяется с точки зрения эффективности поддержки в разных средах, платформах и т. Д. Кроме того, вы теперь влияете на реализацию на стороне клиента, когда вам требуются сертификаты. Это почти наверняка приведет вас в положение, требуя от вас поддержки своих клиентов и заработать их с вашим API. Это означает знакомство с другими языками, веб -серверами, фреймворками и т. Д.

Answer 2

Библиотека Python HTTP поддерживает Клиентские сертификаты, как и библиотека Урллиба, которая находится на вершине.