3

Estou com dúvidas de como trabalhar com autenticação de sistema utilizando restful. O meu caso haverá usuário/senha e permissões/hierarquias para o usuário, sendo que até então como solução mais interessante encontrada em pesquisas foi o trabalho com token, aonde o mesmo é renovado a cada requisição ao webservice e enviado para a interface do usuário.

Obs: A linguagem utilizada é o php e a interface será em html, mas o foco é sobre a autenticação segura com REST.

Para quem já conhece/tem experiencia sobre o assunto, qual a forma mais adequada de se trabalhar com segurança em REST para este caso?

1
  • Pesquise sobre OAuth2. De uma olhada também como funciona o processo de autenticação em outras apis que possuem níveis permissões, como por exemplo, a do google.
    – Oeslei
    20/03/2015 às 12:14

1 Resposta 1

4

Trabalho com uma API em REST desenvolvido com PHP/Symfony2 que usa autenticação via OAuth v2.

A ideia é que o consumidor obtenha um access token por meio de um grant type e esse token de acesso possua um tempo de validade por, digamos, uma hora. A autorização acontece na passagem do token, que se dá por meio do cabeçalho Authorization.

Quando esse token de acesso expirar, pode-se obter outro token usando um refresh token ou as próprias credenciais de usuário (por isso os diversos tipos de grant type – senha, refresh token etc).

A implementação desse protocolo envolve, no meu caso, apenas 4 tabelas: oauth_access_token (na qual ficam armazenados os access tokens dos usuários), oauth_client (na qual ficam armazenados os clients que podem obter access tokens e refresh tokens – você pode até criar clients para terceiros), oauth_refresh_token (na qual ficam armazenados os refresh tokens, que podem eventualmente ser trocados por um access token) e oauth_auth_code.

Enfim, acho que essa solução é bem adequada na hora de conceder acesso aos recursos da sua aplicação. Além disso, costumo proteger a conexão com TSL e usar autorização básica nas rotas que não exigem um token de acesso. :)

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .