实现REST API身份验证的5种方法 | Google Cloud博客
学习基础知识：身份、身份验证和授权
在实现 REST API 身份验证之前，了解一些基础概念是非常重要的：
- 身份（Identity）：指的是一个数字用户帐户，用于访问资源（如 API、系统、服务等）。身份不仅可以是人类用户，还可以是软件、物联网设备或机器人等非人类实体。
- 身份验证（Authentication）：这是在允许访问 API 之前验证客户端或用户数字身份的过程。通过身份验证，用户或设备需要证明其身份的真实性。
- 授权（Authorization）：指的是确定用户可以访问哪些资源的过程。
- 身份提供者（IdP）：一种系统实体，负责创建、维护和管理身份信息，并提供身份验证服务。
在 Apigee 中实现身份验证
在 Apigee 中，身份验证通常通过要求客户端提供某种形式的凭据来完成，例如用户名和密码、JSON Web 令牌（JWT）。作为 API 的所有者，您可以利用 Apigee 提供的安全策略来实现身份验证。这些策略能够对每个请求进行身份验证和授权，同时保护 API 的内容。
Apigee 提供了超过 50 种开箱即用的策略，其中包括多种 API 身份验证策略，例如：
- 基本身份验证（Basic Authentication）
- OAuth 2.0
- SAML
- 相互 SSL（Mutual SSL）
- API 密钥
在本文中，我们将探讨这些身份验证策略的功能、适用场景，以及如何根据应用需求来实现它们。
此外，API 代理的功能，从而在 Apigee 提供的基础管理功能上实现更多创新。
为您的 API 用例选择正确的身份验证方法
选择合适的身份验证方法需要综合考虑 API 的需求以及客户端或用户的具体情况。在做出选择之前，建议从以下几个方面进行设计考量：
-
与 API 和客户端应用程序的兼容性
确保身份验证方法与客户端（如移动应用或 Web 应用）兼容。例如，是否需要断言？最终用户是否已授权应用程序代表其访问资源？
-
身份提供者的选择
Apigee 等 API 管理解决方案通常提供基础功能，如自动颁发客户端凭据。但某些组织可能需要通过自定义功能来管理用户身份，或者选择外部 IdP，以确保跨平台的一致性。
-
安全性
不同的身份验证方法提供的安全性级别不同。例如，如果 API 处理的是敏感数据，则需要更强的身份验证方法，如 OAuth 2.0 或相互 SSL。
-
自助入职支持
考虑消费者开发人员的入职流程。身份验证方法是否支持通过自助服务登录 API？
-
最终用户身份验证
身份验证方法是否需要支持最终用户（仅限人类）的身份验证调用？
-
开发者参与度分析
身份验证方法是否支持通过 API 捕获开发者和应用程序的相关分析数据？
基于以上设计标准，您可以选择最适合自己 API 用例的身份验证方法。Apigee 提供了灵活的框架，帮助您根据具体需求实现最佳的身份验证策略。
总结
REST API 的身份验证是确保系统安全性和资源访问控制的关键步骤。通过理解身份、身份验证和授权的基本概念，并结合 Apigee 提供的多种身份验证策略，您可以为自己的 API 选择最适合的解决方案。在实际应用中，综合考虑兼容性、安全性以及用户体验等因素，将有助于构建更高效、更安全的 API 系统。
原文链接: https://cloud.google.com/blog/products/api-management/5-ways-to-implement-rest-api-authentication