春休みAPIと春の基本セキュリティ

Question

こんにちは私は春と春のセキュリティで新しいです。現在、私は春に休憩APIに取り組んでいます。春ごとに休息APIを提供します。残りのAPIはステートレスなので、APIを休止するセッションを作成することはできません。もしそうすればステートレスですから、それは残りのデザインに反しています。だから私の質問は可能です私たちは決して残りのサーバー側のユーザーの状態を維持するのですか？私たちはそれをクライアント側で維持できますか？どうやって？？ 春の基本セキュリティでは、ログインして現在のユーザーに原則を適用しました。春休み認証の場合と同じです。だから休憩apiのすべてが現在ログインしているユーザーですか？。春休憩APIはステートレスで、次に春のセキュリティが現在ログインしているユーザーを維持する方法です。トークンを取得するためにトークンを取得し、現在のリクエストを送信したユーザを知るたびにトークンを取得します。トークンはクッキーに格納されます。したがって、クッキーはクライアント側に保存されます。その場合、ブラウザがCookieを無効にした場合、ログインしたユーザーと現在のユーザーをどのように認証できますか？

Answer 1

RESTはセキュリティとは関係がありません。そのすべてはデータ操作に関するものであり、セキュリティに関するものではありません。

通常、RESTリクエストとともに何らかの識別情報を提供します。資格情報のセット、トークン、暗号化されたトークン、およびそうでないものを指定できます。たとえば、トークンの形式の1つがJWTトークンです。しかし理論的には、異なるフォーマットでも作業できます。

スプリングセキュリティは、さまざまなフローをサポートします。時には、ここでそれを拡張し、いくつかの機能をプラグインする必要があります。しかし、春のセキュリティは非常に拡張性があり、さまざまなフローをサポートするように設計されたさまざまなレベルの柔軟性を可能にします。

私はそれが理論的な答えのようなものだ知っているが、質問もかなり理論です:)