Web服务用户认证和会话管理的最佳实践

Question

根据标题，我想知道什么是Web服务用户认证和会话管理的一些最佳实践，主要针对后端实现，特别是使用Java（J2EE）。

有没有人发表过关于此主题的任何内容？在使用用户身份验证时，应该牢记什么样的安全考虑？什么样的设计模式是相关的？会议应如何管理？什么是精心设计的架构看起来像？

是否有现有的系统可以作为很好的例子，甚至是坏的例子？

Answer 1

由于针对Web服务的Java EE规范实际上是将无状态会话Bean公开为Web服务，因此如果没有“自制”解决方案（如包括用户令牌），将无法实现会话管理你的每一个要求。

Answer 2

不是特别的REST，但我们对标准Web服务使用与其他Web容器请求相同的身份验证机制。意味着将基本认证数据发送到后端。通过SSL。从来没有任何问题。