4

Eu sempre trabalhei com PHP/MySQL e Javascript/jQuery. Sempre fiz a conexão do PHP com o banco de dados direto, e uso sessões para fazer login.

Atualmente estou trabalhando em um projeto onde o uso AngularJS para o frontend e PHP/MySQL para o backend como uma espécie de API para alimentar a aplicação principal com dados do banco de dados. Só que como eu expliquei anteriormente, sempre fiz o uso de sessões para lidar com o login, a minha dúvida é: Qual a melhor opção para fazer esse login e manter autenticado? Devo enviar sempre os dados de usuário e senha para API? Para permanecer autenticado? Devo usar alguma espécie de token com tempo de expiração? Mas no caso de um browser (aplicação web), onde eu iria armazenar esse token? Então eu ainda sim faria o uso de sessões?

Enfim, não sei se eu disse alguma bobeira, se sim, por favor me corrijam.

8
  • Pelo que eu entendi, sua dúvida é sobre como gerenciar logins no backend de uma API, certo?
    – Gabe
    8/12/2015 às 21:25
  • Isso. Mas também, como posso armazenar essa autenticação, já que não estarei usando sessões. 8/12/2015 às 21:29
  • Tem algum motivo para não usar sessões?
    – Gabe
    8/12/2015 às 21:30
  • @Gabe nada impede, porém não é um padrão de uso comum porque REST APIs também podem ser usadas por clientes que não possuem o conceito de sessão - por exemplo aplicações mobile para Android e iOS. Um dos padrões utilizados neste caso é o bearer token.
    – OnoSendai
    8/12/2015 às 21:40
  • @lbotinelly Ah, faz sentido... Não considerei que a mesma API podia ser usada pra outros clientes. Isso que dá nunca ter trabalhado com apps :D
    – Gabe
    8/12/2015 às 21:47

1 Resposta 1

1

A ideia é construir uma RestAPI, ela é stateless(não mantem o estado). Cada usuário, solicita para RestApi um token, com esse token ele acessa os endpoints que precisa consultar.

Para isso você monta um cadastro de cada usuário, para as aplicações que usarão a sua API. Você entrega para o cliente um client_secrete client_id para cada aplicação.

Com o cliente_secret e client_id, o usuário pode chamar um endpoint que validará as informações e devolve o token para cada requisição.

Adaptando ao seu caso, imagina que cada chamada AJAX(ou $http, que usa AJAX de fundo) do Angular você passa o token junto com a chamada, internamente você valida o Token e permite o acesso.

Para cada token, você pode criar funções ou (roles), garantindo o acesso publico e parcial da sua API. Ou permitir que aplicações tenha um token por menor ou mais tempo.

Uma sugestão pessoal, considere deixar alguns endpoints da sua API público, as vezes as suas informações podem ajudar outros a criarem mais coisas em cima da sua API, o que pode acabar trazendo mais valor ao seu conteúdo. E dependendo do acesso você pode até cobrar por isso.

Essa é a forma resumida que você trabalha com uma RestAPI e oAuth, uma olhada atenta as especificações e também ao funcionamento de outras API, ajuda bastante na compreensão do assunto.

Segue algumas que eu particularmente gosto de olhar.

Github

Apontador

Twitter

Instagram

2
  • Só lembrando que apesar de não estar incorreta sua resposta, adicionar um token em toda requisição onde a API deve validar toda requisicação requer que o backend guarde um estado, logo não seria mais uma aplicação stateless. 9/12/2015 às 12:32
  • 1
    @WilliamOkano Ná pratica esse token é armazenado ao lado do cliente... local storage ou cookies. Ele é enviado em toda requisicao ao servidor. E devolvido em toda resposta. O servidor é sim, stateless. Quem guarda o estado é o front end. Existem implementacoes que guardam no banco de dados e enviam ao cliente, por exemplo para garantir acesso somente por um dispositivo 10/12/2015 às 2:56

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .