5

Minha dúvida é a seguinte:

Imagine 3 servidores tomcat (s1,s2,s3) e todos os 3 servidores se conectam a um único servidor sgbd (s_bd1).

Os três servidores tomcat rodam uma aplicação que é de natureza RESTFul e stateless, sendo assim não carregam a sessão do usuário. aqui vai minhas duas dúvidas:

1) Como é possível fazer a autenticação do usuário após a tela de login persistir entre as futuras requisições umas vez que ele pode navegar entre os 3 servidores de modo transparente? (ex. uma requisição de inclusão ser enviada para s1 e uma requisição de atualização enviada para s2..)

2) Como s2 vai reconhecer o usuário se o login dele foi feito em s1 e o ambiente é stateless?

1
  • 2
    Até onde eu saiba, stateless significa que não é mantido estado no servidor; o cliente pode sim ter estado (e como apontado por sergiopereira, esse estado pode estar - mas não necessariamente estará - num cookie).
    – mgibsonbr
    19/09/2014 às 2:10

1 Resposta 1

7

Em se tratando de RESTful, os mesmos mecanismos utilizados em HTTP se aplicam. Por outro lado, embora muitas aplicações web usem cookies, seria estranho usá-los em uma API.

Dessa forma, o mais comum é utilizar-se o header Authorization com suas variações Basic, Digest ou Bearer.

Uma opção bem popular é utilizar OAuth com Bearer (Bearer Token). O header fica mais ou menos assim (segue pseudo-código):

string token = "tokenRecebidoViaLoginOAuth..provavelmente_bem_longo";
string authHeader = "Bearer " + base64Encode(token);
request.headers["Authorization"] = authHeader;

Se você optar por Basic você pode tanto utilizar seu web server para verificar as credenciais ou implementar isso você mesmo. O formato é o seguinte:

string credenciais = "nome-de-usuario:senha";
string authHeader = "Basic " + base64Encode(credenciais);
request.headers["Authorization"] = authHeader;

Em ambos os casos, use HTTPS para garantir que esse header trafegue seguramente.

Essas não são as únicas formas de fazê-lo, mas eu as vejo em muitas das APIs RESTful que utilizo e em quase todas que eu implementei também. Eu pessoalmente recomendaria OAuth, principalmente se você estiver pensando em disponibilizar essa API para um sistema comercial.

Uma grande exceção entre as APIs que uso são as APIs da Amazon (AWS). O AWS usa uma forma de assinatura digital em cada requisição.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .