Http 세션 인증을 사용하는 기본 인증

Question

모바일 애플리케이션에서 내 API 액세스에 Http Basic Authentication을 사용하고 있습니다. 불행히도 나는 내부적으로 국가를 유지할 필요가있다. 상태가 세션 당 상태이므로 사용자 이름/암호를 상태 키로 사용할 수 없습니다. 마치 쿠키, 세션 식별자 또는 API 키와 같은 것을 추가해야하는 것처럼 보입니다. 내가 URL의 일부로 추가하는 대신 머리글에 추가하는 것을 선호합니다 (username/password 대신 username/password/id).

무엇을 제안하겠습니까? 이것은 심지어 의미가 있습니까?

Answer 1

처음에는 기본 인증을 사용하여 웹 API와 세션 키를 협상하고 나머지 호출에는 해당 세션 키와 함께 HMAC 인증을 사용할 수 있습니다. 해당 세션 키에 내부 상태를 할당합니다. HMAC 인증의 경우 Hawk을 사용할 수 있습니다. 나는 Hawk.NET이라는 Hawk에 대한 구현을 가지고있다.

https://github.com/pcibraro/hawknet