Skip to main content
replaced http://pt.stackoverflow.com/ with https://pt.stackoverflow.com/
Fonte Link

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API REST* para aplicativos móveis. Os aplicativos encorajam o usuário a deixar login e senha salvos para evitar a constante redigitação, de forma que a validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Os tokens têm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação na API neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: no cenário de uma API usada somente por dispositivos móveis que poupam o usuário da digitação de login e senha, qual forma de autenticação usar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em OAuth com BearerOAuth com Bearer; Seria essa a forma preferível? Estou misturando conceitos?

* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente.

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API REST* para aplicativos móveis. Os aplicativos encorajam o usuário a deixar login e senha salvos para evitar a constante redigitação, de forma que a validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Os tokens têm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação na API neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: no cenário de uma API usada somente por dispositivos móveis que poupam o usuário da digitação de login e senha, qual forma de autenticação usar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em OAuth com Bearer; Seria essa a forma preferível? Estou misturando conceitos?

* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente.

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API REST* para aplicativos móveis. Os aplicativos encorajam o usuário a deixar login e senha salvos para evitar a constante redigitação, de forma que a validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Os tokens têm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação na API neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: no cenário de uma API usada somente por dispositivos móveis que poupam o usuário da digitação de login e senha, qual forma de autenticação usar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em OAuth com Bearer; Seria essa a forma preferível? Estou misturando conceitos?

* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente.

Tweeted twitter.com/#!/StackOverflowPT/status/548604710119559169
adicionou 421 caracteres ao conteúdo
Fonte Link
Piovezan
  • 18mil
  • 7
  • 54
  • 91

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API RESTREST* para aplicativos móveis, após. Os aplicativos encorajam o usuário ter se autenticado coma deixar login e senha salvos para evitar a constante redigitação, de forma que por praticidade podem ser salvosa validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Ela trazOs tokens comtêm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação no RESTna API neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: supondo que tokens sejamno cenário de uma solução válida e se eu pudesse escolher um mecanismoAPI usada somente por dispositivos móveis que poupam o usuário da digitação de geração desses tokenslogin e senha, qual seria a forma correta de implementar autenticação RESTusar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em OAuth com Bearer; por acaso ela fornece esse mecanismo de geração de tokens? Seria essa a forma preferível? Estou misturando conceitos?

Estou misturando conceitos?* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente.

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado que estou usando na minha API REST para aplicativos móveis, após o usuário ter se autenticado com login e senha, que por praticidade podem ser salvos nos aplicativos. Ela traz tokens com um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação no REST neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: supondo que tokens sejam uma solução válida e se eu pudesse escolher um mecanismo de geração desses tokens, qual seria a forma correta de implementar autenticação REST? Fala-se em OAuth com Bearer; por acaso ela fornece esse mecanismo de geração de tokens? Seria essa a forma preferível?

Estou misturando conceitos?

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API REST* para aplicativos móveis. Os aplicativos encorajam o usuário a deixar login e senha salvos para evitar a constante redigitação, de forma que a validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Os tokens têm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação na API neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: no cenário de uma API usada somente por dispositivos móveis que poupam o usuário da digitação de login e senha, qual forma de autenticação usar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em OAuth com Bearer; Seria essa a forma preferível? Estou misturando conceitos?

* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente.

adicionou 107 caracteres ao conteúdo
Fonte Link
Piovezan
  • 18mil
  • 7
  • 54
  • 91

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado que estou usando na minha API REST para aplicativos móveis, após o usuário ter se autenticado com login e senha, que por praticidade podem ser salvos nos aplicativos. Ela traz tokens com um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação no REST neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: supondo que tokens sejam uma solução válida e se eu pudesse escolher um mecanismo de geração desses tokens, qual seria a forma correta de implementar autenticação REST? Fala-se em OAuth com Bearer; por acaso ela fornece esse mecanismo de geração de tokens? Seria essa a forma preferível?

Estou misturando conceitos?

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado que estou usando na minha API REST para aplicativos móveis. Ela traz tokens com um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação no REST neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: supondo que tokens sejam uma solução válida e se eu pudesse escolher um mecanismo de geração desses tokens, qual seria a forma correta de implementar autenticação REST? Fala-se em OAuth com Bearer; por acaso ela fornece esse mecanismo de geração de tokens? Seria essa a forma preferível?

Estou misturando conceitos?

Na verdade são duas perguntas (com direito a subperguntas).

  1. Hoje disponho de um mecanismo de geração de tokens já implementado que estou usando na minha API REST para aplicativos móveis, após o usuário ter se autenticado com login e senha, que por praticidade podem ser salvos nos aplicativos. Ela traz tokens com um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação no REST neste caso, por exemplo se o token deveria ir no header Authentication e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria ser Basic ou algum outro tipo. Hoje é trazido um JSON com campo login valendo true ou false e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

  2. A segunda pergunta é uma versão mais ampla da primeira: supondo que tokens sejam uma solução válida e se eu pudesse escolher um mecanismo de geração desses tokens, qual seria a forma correta de implementar autenticação REST? Fala-se em OAuth com Bearer; por acaso ela fornece esse mecanismo de geração de tokens? Seria essa a forma preferível?

Estou misturando conceitos?

adicionou 31 caracteres ao conteúdo
Fonte Link
Piovezan
  • 18mil
  • 7
  • 54
  • 91
Carregando
título editado
Fonte Link
Piovezan
  • 18mil
  • 7
  • 54
  • 91
Carregando
adicionou 44 caracteres ao conteúdo
Fonte Link
Piovezan
  • 18mil
  • 7
  • 54
  • 91
Carregando
adicionou 44 caracteres ao conteúdo
Fonte Link
Piovezan
  • 18mil
  • 7
  • 54
  • 91
Carregando
Fonte Link
Piovezan
  • 18mil
  • 7
  • 54
  • 91
Carregando