Bạn có thể giúp tôi hiểu điều này? Những sai lầm phổ biến của REST: Các phiên là không liên quan

Tuyên bố miễn trừ trách nhiệm: Tôi mới tham gia vào trường tư tưởng REST và tôi đang cố gắng để bao bọc tâm trí của mình xung quanh nó.

Vì vậy, tôi đang đọc trang này, những lỗi REST phổ biến và tôi thấy tôi hoàn toàn bị bối rối bởi phần về các phiên không liên quan. Đây là những gì trang nói:

Không cần khách hàng "đăng nhập" hoặc "bắt đầu kết nối". Xác thực HTTP được thực hiện tự động trên mỗi tin nhắn. Ứng dụng khách hàng là người tiêu dùng tài nguyên, không phải dịch vụ. Vì vậy, không có gì để đăng nhập! Giả sử bạn đang đặt chuyến bay trên dịch vụ web REST. Bạn không tạo kết nối "phiên" mới cho dịch vụ. Thay vào đó, bạn yêu cầu "đối tượng người tạo hành trình" tạo cho bạn một hành trình mới. Bạn có thể bắt đầu điền vào chỗ trống nhưng sau đó lấy một số thành phần hoàn toàn khác ở nơi khác trên web để điền vào một số khoảng trống khác. Không có phiên nên không có vấn đề di chuyển trạng thái phiên giữa các khách hàng. Cũng không có vấn đề về "mối quan hệ phiên"

Được rồi, tôi nhận được rằng xác thực HTTP được thực hiện tự động trên mỗi tin nhắn - nhưng bằng cách nào? Là tên người dùng / mật khẩu được gửi với mỗi yêu cầu? Không phải điều đó chỉ làm tăng diện tích bề mặt tấn công sao? Tôi cảm thấy như mình đang thiếu một phần của câu đố.

Sẽ rất tệ nếu có một dịch vụ REST, giả sử, /sessionchấp nhận yêu cầu GET, trong đó bạn chuyển tên người dùng / mật khẩu như một phần của yêu cầu và trả lại mã thông báo phiên nếu xác thực thành công, có thể sau đó thông qua cùng với các yêu cầu tiếp theo? Điều đó có ý nghĩa từ quan điểm REST hay là thiếu điểm đó?

Để là RESTful, mỗi yêu cầu HTTP phải tự mang đủ thông tin cho người nhận để xử lý nó hoàn toàn hài hòa với tính chất không trạng thái của HTTP.

Được rồi, tôi nhận được rằng xác thực HTTP được thực hiện tự động trên mỗi tin nhắn - nhưng bằng cách nào?

Có, tên người dùng và mật khẩu được gửi với mọi yêu cầu. Các phương pháp phổ biến để làm như vậy là xác thực truy cập cơ bản và xác thực truy cập tiêu hóa . Và vâng, một kẻ nghe trộm có thể nắm bắt thông tin đăng nhập của người dùng. Do đó, người ta sẽ mã hóa tất cả dữ liệu được gửi và nhận bằng cách sử dụng TLS) .

Sẽ rất tệ nếu có một dịch vụ REST, giả sử, / phiên, chấp nhận yêu cầu GET, trong đó bạn chuyển tên người dùng / mật khẩu như một phần của yêu cầu và trả lại mã thông báo phiên nếu xác thực thành công, có thể sau đó được thông qua cùng với các yêu cầu tiếp theo? Điều đó có ý nghĩa từ quan điểm REST hay là thiếu điểm đó?

Điều này sẽ không phải là RESTful vì nó mang trạng thái nhưng nó khá phổ biến vì nó thuận tiện cho người dùng; một người dùng không phải đăng nhập mỗi lần.

Những gì bạn mô tả trong "mã thông báo phiên" thường được gọi là cookie đăng nhập . Chẳng hạn, nếu bạn cố gắng đăng nhập vào Yahoo! tài khoản có một hộp kiểm cho biết "giữ cho tôi đăng nhập trong 2 tuần". Điều này về cơ bản là nói (theo lời của bạn) "giữ mã thông báo phiên của tôi tồn tại trong 2 tuần nếu tôi đăng nhập thành công." Các trình duyệt web sẽ gửi các cookie đăng nhập như vậy (và có thể là các cookie khác) với mỗi yêu cầu HTTP mà bạn yêu cầu để thực hiện cho bạn.

Không có gì lạ khi dịch vụ REST yêu cầu xác thực cho mọi yêu cầu HTTP. Ví dụ: Amazon S3 yêu cầu mọi yêu cầu đều có chữ ký được lấy từ thông tin đăng nhập của người dùng, yêu cầu chính xác để thực hiện và thời gian hiện tại. Chữ ký này dễ tính toán ở phía máy khách, có thể được máy chủ xác minh nhanh chóng và được sử dụng hạn chế cho kẻ tấn công chặn nó (vì nó dựa trên thời gian hiện tại).

Nhiều người không hiểu rõ các nguyên tắc REST, sử dụng mã thông báo phiên không có nghĩa là bạn luôn ở trạng thái, lý do để gửi tên người dùng / mật khẩu với mỗi yêu cầu chỉ để xác thực và tương tự để gửi mã thông báo (được tạo bởi đăng nhập xử lý) chỉ để quyết định xem khách hàng có quyền yêu cầu dữ liệu hay không, bạn chỉ vi phạm các tham vọng REST khi bạn sử dụng tên người dùng / mật khẩu hoặc mã thông báo phiên để quyết định dữ liệu nào sẽ hiển thị! thay vào đó, bạn phải sử dụng chúng chỉ cho mục đích (để hiển thị dữ liệu hoặc không hiển thị dữ liệu)

trong trường hợp của bạn, tôi nói CÓ, đây là RESTy, nhưng hãy thử tránh sử dụng các phiên php gốc trong API REST của bạn và bắt đầu tạo các mã thông báo băm của riêng bạn hết hạn theo thời gian xác định!

Không, nó không bỏ lỡ vấn đề. ClientLogin của Google hoạt động chính xác theo cách này với ngoại lệ đáng chú ý là khách hàng được hướng dẫn đi đến "/ session" bằng phản hồi HTTP 401. Nhưng điều này không tạo ra một phiên, nó chỉ tạo ra một cách để khách hàng (tạm thời) tự xác thực mà không cần thông tin xác thực rõ ràng và để máy chủ kiểm soát tính hợp lệ của các thông tin tạm thời này khi thấy phù hợp.

Được rồi, tôi nhận được rằng xác thực HTTP được thực hiện tự động trên mỗi tin nhắn - nhưng bằng cách nào?

"Ủy quyền:" Tiêu đề HTTP được gửi bởi khách hàng. Hoặc cơ bản (văn bản thuần túy) hoặc tiêu hóa.

Sẽ rất tệ nếu có một dịch vụ REST, giả sử, / phiên, chấp nhận yêu cầu GET, trong đó bạn chuyển tên người dùng / mật khẩu như một phần của yêu cầu và trả lại mã thông báo phiên nếu xác thực thành công, có thể sau đó được thông qua cùng với các yêu cầu tiếp theo? Điều đó có ý nghĩa từ quan điểm REST hay là thiếu điểm đó?

Toàn bộ ý tưởng của phiên là tạo ra các ứng dụng trạng thái bằng giao thức không trạng thái (HTTP) và máy khách câm (trình duyệt web), bằng cách duy trì trạng thái ở phía máy chủ. Một trong những nguyên tắc REST là "Mọi tài nguyên đều có địa chỉ duy nhất bằng cách sử dụng cú pháp chung để sử dụng trong các liên kết hypermedia" . Biến phiên là thứ không thể truy cập thông qua URI. Ứng dụng RESTful thực sự sẽ duy trì trạng thái về phía khách hàng, gửi tất cả các biến cần thiết qua HTTP, tốt nhất là trong URI.

Ví dụ: tìm kiếm với phân trang. Bạn muốn có URL ở dạng

http://server/search/urlencoded-search-terms/page_num

Nó có nhiều điểm chung với các URL có thể đánh dấu

Tôi nghĩ đề xuất của bạn là ổn, nếu bạn muốn kiểm soát thời gian sống của phiên khách. Tôi nghĩ rằng kiến ​​trúc RESTful khuyến khích bạn phát triển các ứng dụng phi trạng thái. Vì @ 2pence đã viết "mỗi yêu cầu HTTP phải tự mang đủ thông tin cho người nhận để xử lý nó hoàn toàn hài hòa với bản chất không trạng thái của HTTP" .

Tuy nhiên, không phải lúc nào cũng như vậy, đôi khi ứng dụng cần thông báo khi khách hàng đăng nhập hoặc đăng xuất và để duy trì các tài nguyên như khóa hoặc giấy phép dựa trên thông tin này. Xem câu hỏi tiếp theo của tôi cho một ví dụ về trường hợp như vậy.