Tenho um endpoint de logout para tornar inválido o token do usuário current.
Com isso me surgiu uma dúvida: Qual verbo HTTP devo utilizar para realizar logout?
Tenho um endpoint de logout para tornar inválido o token do usuário current.
Com isso me surgiu uma dúvida: Qual verbo HTTP devo utilizar para realizar logout?
Basta analisar as recomendações definidas nas RFC 2616, seção 9, Method Definitions.
DELETE
The DELETE method requests that the origin server delete the resource identified by the Request-URI. This method MAY be overridden by human intervention (or other means) on the origin server. The client cannot be guaranteed that the operation has been carried out, even if the status code returned from the origin server indicates that the action has been completed successfully. However, the server SHOULD NOT indicate success unless, at the time the response is given, it intends to delete the resource or move it to an inaccessible location.
A successful response SHOULD be 200 (OK) if the response includes an entity describing the status, 202 (Accepted) if the action has not yet been enacted, or 204 (No Content) if the action has been enacted but the response does not include an entity.
If the request passes through a cache and the Request-URI identifies one or more currently cached entities, those entries SHOULD be treated as stale. Responses to this method are not cacheable.
Considerando que o acesso à aplicação é um recurso identificado pelo token e que você deseja excluir este token, descontinuando o acesso, então o método DELETE é o apropriado.
Tradução livre:
O método DELETE solicita que o servidor de origem exclua o recurso identificado pela Request-URI. Este método pode ser substituído por uma intervenção humana (ou outros meios) no servidor de origem. O cliente não pode garantir que a operação tenha sido realizada, mesmo que o código de status retornado do servidor de origem indique que a ação foi concluída com sucesso. No entanto, o servidor NÃO DEVE indicar sucesso a menos que, no momento em que a resposta for dada, pretende excluir o recurso ou movê-lo para um local inacessível.
Uma resposta bem sucedida DEVE ser 200 (OK) se a resposta incluir uma entidade que descreva o status, 202 (Aceito) se a ação ainda não foi promulgada ou 204 (Sem Conteúdo) se a ação foi promulgada, mas a resposta não inclui uma entidade.
Se a solicitação passar por um cache e o URI de solicitação identifica uma ou mais entidades atualmente armazenadas em cache, essas entradas DEVEM ser tratadas como obsoletas. As respostas a este método não são armazenáveis em cache.
Nota pessoal:
Se você possui domínio completo sobre o desenvolvimento da API, isto é, você desenvolveu tanto a API quando o cliente, você poderá confiar na resposta 200, fugindo levemente da recomendação acima, pois na API você poderá retornar a resposta 200 apenas quando o recurso for devidamente excluído. A recomendação define que a resposta não deve ser confiável principalmente quando você está utilizando uma API de terceiros.
Leituras recomendadas
Eu diria que um método interessante para o uso seria o DELETE
(com base em uma API que conheço da IBM), pois quando você faz a autenticação você cria um Token de acesso e quando você vai desconectar este Token não pode ser mais usado, então creio que DELETE
descreve bem:
DELETE /api/1.0/token HTTP/1.1
A resposta de status
pode variar um pouco dependendo se o Token existe ou não, conforme o https://www.w3.org/Protocols/rfc2616/rfc2616-sec9.html#sec9.7 o status de resposta deve ser:
200 (Ok)
se retornar uma descrição no corpo201 (Accepted)
se a ação ainda não tiver sido concluída (provavelmente se for checar posteriormente)204 (No Content)
se a ação não tiver uma resposta no corpoNota: Se a solicitação passar por um cache e a URL da solicitação identifica uma ou mais entidades armazenadas em cache, essas entradas DEVEM ser tratadas como obsoletas. As respostas a este método não devem ser armazenadas em cache.