REST API - 如何通过API进行无状态和安全登录？

Question

我在这里遇到了问题。我一直在寻找答案，但一直无法找到我正在寻找的确切答案。我正在尝试为REST api构建安全的身份验证方法。我的问题是，我们如何处理REST API的登录？

由于REST API每次都意味着无状态，这是否意味着我们需要将客户端的用户名/密码存储在客户端（可能是哈希），并将其发送给每个请求？我更愿意使用像第一次登录时创建的身份验证令牌那样的系统，但这样做是否违背REST的基本规则，因为这在技术上会在服务器上创建“状态”？

什么是最好和最实际的方法来处理这个？正如我之前写的，我正在努力想出一个答案。也许这是由于这个问题没有明确的答案，但我真的不知道。

在此先感谢。

Answer 1

这也是我对REST的理解：客户端将每个请求发送的登录名/密码发送到服务器。服务器必须根据这些信息来验证客户端。关于REST的超媒体原则，根据我的理解，让用户登录不是应用程序状态。