Seguridad y autenticación en servicios web

Question

Digamos que tenemos un sitio web que usa un servicio web para todas sus funciones (es decir, para recuperar y actualizar datos de/a db), ¿cómo autentica las solicitudes el servicio web?

Según tengo entendido, en un "sitio web" java tradicional, un usuario proporciona un nombre de usuario & contraseña y, una vez validado, se asigna una jsessionid al usuario (navegador del cliente). El navegador del cliente le pregunta al sitio web algo, el sitio comprueba el jsessionid y garantiza que el usuario esté registrado y autenticado. ¿Hay un servicio web equivalente a esto? Si es así, ¿qué?

Answer 1

Por lo general, para los servicios web, la solución más fácil es usar la Autenticación básica. Para algo más complejo, "Api Key \ Token" se pasa con cada solicitud para autorizar/autenticar a los usuarios. Otra solución es OAuth.

Twitter, por ejemplo, use Basic Authentication y OAuth.

Answer 2

El mundo del servicio web se rige por los estándares ws- *.

Ver WS-Security:

• http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=wss
• http://en.wikipedia.org/wiki/WS-Security

artículo de Wikipedia da una visión agradable de alto nivel, oasis es la sede oficial de las normas, y proporciona el detalle presupuesto.

Answer 3

¿Su servicio web incluso necesita ser accesible públicamente?

Es posible que no tenga que preocuparse por los complicados esquemas de autenticación si no hay motivos para permitir que el tráfico público llegue incluso al servicio web.