在REST中使用REST进行会话管理

Question

所以我使用Spring为简单的游戏构建了一个REST-API。我现在需要能够跟踪用户以及一些数据（他们所在的游戏以及团队）。我收到了一些Spring安全性值得关注的提示，但是我没有看到如何在不需要登录的情况下帮助我。

有没有这样做的好方法？

我也尝试过使用会话，可以从HttpServletRequest获得，但是这个会话不同于第一次导航到网页，我无法解决，我担心它会太不可靠。

Answer 1

REST应该是无状态的。这意味着你不想为用户数据之类的内容创建会话。这应该都是持久的服务器端，并通过其余呼叫进行管理。你将拥有一个用户资源和一个游戏资源，或许它们之间存在一个关系，所有这些资源都保存在数据库中。 Spring Security不会帮你解决这个问题。

Spring Security能够帮助您的是保护您的REST服务和管理身份。尽管REST是无状态的，但客户端在HTTP标头中发送类似访问令牌的情况是正常的。此访问令牌提供身份和身份验证。同样，您需要分别管理和存储访问令牌和用户服务器端之间的关系，或许在您的数据库中。

Answer 2

会话可以从HttpSession获取，而不是HTTPServeletRequest。 HttpSessions是可靠的。