Autenticación en un servicio web RESTful

Question

Estoy construyendo un servicio web tranquilo basado en Spring. Estoy usando Spring Security. Solo se accederá mediante aplicaciones de escritorio. Básicamente, un servicio web de máquina a máquina.

• Quiero un servicio personalizado que realice la autenticación. A continuación, realice otras operaciones más confidenciales basadas en el resultado de la autenticación.

• Otra opción es enviar las credenciales en el cuerpo de cada solicitud y básicamente hacer la autenticación cada vez.

La lógica dice que el primer enfoque sería el más eficiente porque no es bastante cierta sobrecarga en la autenticación de cada uno y cada una.

¿Qué sugieres relacionado con esto? Para ir sin estado o con estado? ¿Hay grandes desventajas para el enfoque con estado?

Hasta este momento he leído algunos capítulos del Java Web Services Up and Running y también varias preguntas de SO como this.

Answer 1

La forma RESTO de hacerlo es, como se indica en los enlaces suministrados por el usuario, para autenticar en cada solicitud, y no a mantener las sesiones.

En cuanto a la autenticación con nombre de usuario/contraseña en cada solicitud, es seguro si puede usar ... una capa segura (https); de lo contrario, el par se envía en texto claro y detectable.

Otra opción es utilizar algo así como la forma de AWS para hacerlo (enlaces a Amazon here y here, por ejemplo). Aquí para otras explicaciones: buzzmedia y samritchie

Quizás OAuth es una opción, pero no tengo experiencia en ello.

Answer 2

Para empezar resto servicio (cliente - servidor) Voy a recomendar encarecidamente que utilice Restlet

autenticación al servicio por resto puede ser definido usando ClientResource. Ejemplo:

private static ClientResource getClientResource(String uri) { 
ClientResource clientResource = new ClientResource(uri); 
clientResource.setChallengeResponse(ChallengeScheme.HTTP_BASIC, 
     "username", "password" 
     ); 
return clientResource; 
}