Na verdade são duas perguntas (com direito a subperguntas).
Hoje disponho de um mecanismo de geração de tokens já implementado que estou usando na minha API REST para aplicativos móveis. Ela traz tokens com um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação no REST neste caso, por exemplo se o token deveria ir no header
Authentication
e se minha API deveria responder a um token inválido retornando HTTP status 401 - Unauthorized, se o método de autenticação deveria serBasic
ou algum outro tipo. Hoje é trazido um JSON com campologin
valendotrue
oufalse
e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.A segunda pergunta é uma versão mais ampla da primeira: se eu pudesse escolher um mecanismo de geração de tokens, qual seria a forma correta de implementar autenticação REST? Fala-se em OAuth com Bearer, ela fornece esse mecanismo? Seria essa a forma preferível?
(Obs.: A tag mais correta relacionada a aplicativos móveis é a mobile
, mas ela tem poucos seguidores, por isso preferi deixar como android
).