Как обеспечить аутентификацию пользователей при REST-запросах?

Question

[Максим Пелевин]

Каким образом достигается проверка прав на создание/чтение/изменение/удаление в запросах к апи сайта? При этом, если запрос делается с внутренних страниц сайта, то каким образом обеспечить безопасность данных для аутентификации (например, если это делается через аякс-запрос посредством ключа пользователя)?

Answer 1

[PopeyetheSailor]

В моем случае все было реализовано аналогично для xhr и обычных http-запросов, не вижу принципиальной разницы.

Answer 2

[Константин Китманов]

Когда от клиента приходит логин-пароль, высылаем ему токен. Этот токен клиент должен слать при каждом запросе в специальном поле (мы слали в заголовке под названием Authorization).

Answer 3

[xmoonlight]

Используйте аналог MD5-CRAM (двух-тактовая аутентификация).
Уже почти все хеш-функции есть в виде JS-библиотек.

Можно использовать передачу параметров от любого домена к Вашему через HTML5.
javascript.ru/ajax/cross-origin-2