Безопасность сообщений REST (сквозная безопасность)
Каковы наиболее распространенные способы реализации сквозной безопасности сообщений (аутентификация и шифрование) в службах REST?
Я мог бы использовать TLS и базовую аутентификацию для связи точка-точка, но это действительно не обеспечивает сквозную безопасность, поскольку злоумышленник может быть, например, администратором балансировщика нагрузки.
SOAP имеет WS-Security для обеспечения сквозной безопасности. Что такое альтернатива REST?
Ответы 1
Если вы хотите быть полностью независимыми от потенциально враждебных посредников (например, завершения TLS, о котором вы упоминаете в своем вопросе), вы должны стремиться к шифрованию данных, к которым пользователь собирается получить доступ с его учетными данными, и зашифровать / расшифровать их на стороне клиента.
Таким образом, все, что происходит в пути, приведет к утечке в лучшем случае двоичного двоичного объекта.