RESTful服务和用户维护-url结构和命令问题

Question

我正在设计宁静的服务和要维护的实体之一 - 用户帐户。我在 .NET 中使用会员资格提供程序进行此操作。

这是我所拥有的：

/users/ GET - 返回用户列表

/users/ POST - 可以创建或更新 多个用户（发布用户数组 对象）

如果您更新或创建用户，此帖子并不重要

我的问题是：如何创建更改密码的服务？更改密码与更新用户过程是分开的。我在想这样的事情：

/users/{userName}/password POST - 至 更改用户密码。

但是我必须在这里传递不同的对象？ （我使用 JSON）

您对如何布局 URL 有什么建议吗？我真的应该创建另一个对象吗？ MembershipProvider 需要更改新旧密码

Answer 1

问题在于我们是否将密码本身视为一种资源。

在我的用户数据库中，我将所有密码（加盐和拉伸）存储在自己的表中，因此我可以轻松地将密码作为单独的资源呈现。但仅仅因为你没有那种细粒度的控制并不意味着你不能做同样的事情 - 但我不会考虑为密码实现 GET，最终你需要一个身份验证服务，这应该遵循一些一种协议。

休息服务可以自由地以它希望的方式表示其数据，而不真正考虑底层结构，因此，鉴于此，我认为如果对您的情况有意义的话，您可以自由地将其作为单独的资源来执行。

您可以在用户数据中包含用于更改密码的 uri。客户端必须知道要发送的数据类型（所以是的，您将需要专用的资源类型来处理更改请求），并且应该使用 POST 请求触发 uri。

Answer 2

如果我理解您的问题，您希望获得有关与 Uri 布局本身的关系的建议。下面的建议专门与设计可用于更改密码的 Uri 相关。

切勿在 URI 中包含任何明文敏感信息，即使它通过 HTTPS 传输，因为该信息可能会写入服务器上的日志文件，或者更糟糕的是，由分析或监控软件记录。确保敏感信息作为正文的一部分或标头的一部分发送。

以下是为什么使用 RESTfull 服务更改密码可能需要自己的 Uri 的几个注意事项：

1. 防止在更新用户详细信息时意外更改密码。
2. 每当此方法发生更改时，您可能需要进行额外的安全审查，因为其中允许匿名用户更改现有用户密码的任何缺陷都将允许该匿名用户劫持该帐户。
3. 您可能还希望包含其他附加安全功能，例如通知用户其密码已更改并使应用程序的任何 OAuth 令牌问题无效。会员资格提供商很棒，但没有提供这种额外的措施。
4. 由于它是不同的 Uri，您可以监控其使用情况并将其与 IP 地址相关联，从而允许您检测是否有人试图破坏用户帐户。

您只需将数据合约 PUT 到 https://example.com/users/{id}/password：

[DataContract]
public class ChangePassword
{
   [DataMember]
   public string OldPassword { get; set; }

   [DataMember]
   public string NewPassword { get; set; }
}

后者假设您将授权客户端是否可以实际执行此操作。您可能需要查看REST 中的 PUT 与 POST 是否使用 PUT 或 POST。此外，RESTful Web Services 和 REST API 设计规则手册 在设计时对我来说非常宝贵RESTfull 服务，包括 Uri 布局。