Comment sécuriser les appels d'API REST ?

Question

Je suis en train de développer une application web reposante qui utilise un framework web populaire en back-end, par exemple (rails, sinatra, flask, express.js). Idéalement, je veux développer le côté client avec Backbone.js. Comment puis-je laisser mon côté client javascript interagir avec ces appels d'API ? Je ne veux pas que ces appels d'API soient publics et puissent être appelés par curl ou simplement en saisissant le lien sur le navigateur.

Answer 1

Voilà ce que je fais :

1. Sécurisez l'API avec un en-tête HTTP avec des appels tels que X-APITOKEN :

2. Utiliser les variables de session en PHP. Mettez en place un système de connexion et enregistrez le jeton de l'utilisateur dans des variables de session.

3. Appelez du code JS avec Ajax vers PHP et utilisez la variable de session avec curl pour appeler l'API. De cette façon, si la variable de session n'est pas définie, l'appel n'aura pas lieu et le code PHP contient le jeton d'accès à l'API.