会话是否用于REST验证？

Question

不好意思的问题，这是我第一次尝试实现一个REST接口（在PHP中）。总之，由于HTTP协议的无状态特性，什么是最好的做法，以确保：

GET/ /user/{id}/friends 

始终，只由当前认证的用户执行？会话通常用作限制REST访问的方法吗？

Answer 1

您可以使用HTTP会话，它只不过是服务器端的Cookie。他们通常没问题，但最近有很多关于会话劫持的报告。所以我的答案，如果你真的关心这个是使用HMAC。设置起来很麻烦，但一旦确定消息确实来自经过身份验证的用户。