6

Pesquisei e não encontrei solução para o seguinte problema:
Como faço para controlar as requisições em um determinado serviço REST?

Por exemplo, se eu tenho um blog no qual acesso meus serviços (inserir post, remover post, atualizar post, por exemplo) da seguinte forma localhost:80/post/insert/id=1 via aplicação, e se eu digitar isso no browser sem fazer uma requisição via aplicação, vou realizar a inserção do mesmo jeito. Minha duvida é:

Como posso assegurar que meus serviços REST deverão responder apenas a minha aplicação?

2 Respostas 2

5

Uma alternativa é validar através de tokens. Assim, você pode até mesmo limitar a quantidade de chamadas do seu serviço. Alguns serviços do Google e Bing são limitados a 5.000 chamadas por dia, a partir daí o usuário deve pagar uma assinatura.

Sugestões:

  • token com expiração, para evitar chamadas depois de um período de tempo.
  • username - controle a nível de usuário.
  • IP do cliente - controla a origem da chamada.
  • hash da senha - utilizando chaves público/privadas para troca do hash da senha.

Tem mais algumas ideias nos links abaixo:

5

Tendo em vista que uma das regras do padrão REST é Um protocolo cliente/servidor sem estado, sua requisição deve conter tudo o que é necessário para entender o pedido - o que inclui autenticação. Como você faz isso, fica a seu critério. No entanto, posso dizer que é adequado usar, como parâmetros da requisição, um user e um token. Trafegue usando HTTPS, sempre, para que os dados sejam encriptados.

Mais sobre o padrão (em inglês) aqui: Wikipedia

1
  • É recomendado/viável enviar o token no header Authorization? E por que enviar também o user? Além da possibilidade de limitar a quantidade de chamadas ao serviço por um mesmo usuário como sugerido na outra resposta, existe mais algum motivo?
    – Piovezan
    Commented 4/12/2014 às 18:23

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .