Na verdade são duas perguntas (com direito a subperguntas).
Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API REST* para aplicativos móveis. Os aplicativos encorajam o usuário a deixar login e senha salvos para evitar a constante redigitação, de forma que a validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Os tokens têm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação na API neste caso, por exemplo se o token deveria ir no header
Authentication
e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria serBasic
ou algum outro tipo. Hoje é trazido um JSON com campologin
valendotrue
oufalse
e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.A segunda pergunta é uma versão mais ampla da primeira: no cenário de uma API usada somente por dispositivos móveis que poupam o usuário da digitação de login e senha, qual forma de autenticação usar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em OAuth com Bearer; Seria essa a forma preferível? Estou misturando conceitos?
* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente.