REST API基于令牌的身份验证机制

Question

我的本地网络中有一台网络设备（运行C++），它运行一个http（s）服务器并提供一个Restlike webservice接口来提供一个API来控制设备。 现在我的问题是，我如何授权用户（在同一网络中的Android智能手机）使用Rest api？ 这种情况是这样的：智能手机上的用户必须输入一个PIN码（4位数字）以便从那时开始访问api，应该可以调用所有其他REST API方法。

我的想法： 1）密码将通过http（s）POST正文发送到设备，设备会检查它是否正常。 2）如果PIN是正确的，设备将生成一个令牌，该令牌必须在将来每次请求时使用。

所以我的问题是： *我应该如何在设备上使用C++生成此类标记（什么算法） *应该如何在每个请求上传输标记？作为查询参数？或者在POST正文中？或在标题？

编辑：我也读了约http basic authentication。这可以在我的设置中使用吗？ 亲切的问候

Answer 1

当使用头或POST正文提交令牌时，永远不会在Url中作为查询字符串的一部分。

的剩余部分将看到OWASP页：https://www.owasp.org/index.php/REST_Security_Cheat_Sheet#Authentication_and_Session_Management

Answer 2

简短的回答是：它存储在头部，该代码可以使用哈希算法来生成令牌和你的想法是在第一点的权利，但要确保这些令牌具有有限的生命周期。