我怎样才能只授予对 Web 服务的访问权限一次

Question

我有一个使用 larevel 4.2 开发的网站应用程序，其中我有一些使用 ajax 的网络服务调用。 我的问题是 url 和 Web 服务的凭据显示给用户。有没有一种方法可以为用户提供一次可用的凭据？

Answer 1

直接在 Ajax 调用中使用安全凭证是一种错误的形式。如果您使用的是网络安全产品，那么它可能支持用户会话。用户登录安全站点后，he/she 会获得一个特殊的 cookie，用于识别用户和正在使用的客户端计算机。每个网络安全产品都提供后端应用程序访问此用户凭据的权限，通常是通过名为 SESSION_ID 的密钥。这与安全的 SSL 连接相结合，可用于验证用户是谁以及他们连接的机器。 Ajax 调用除了验证此 SESSION_ID.

之外不需要任何其他内容

我担心您可能正在使用 'off-site' Ajax 调用。随着越来越多的浏览器默认禁止跨站点脚本，这将是一个非常糟糕的主意。如果是这种情况，则应重新设计您的 Web 服务，以便将任何所需的凭据安全地保存在您的服务器上，而不是提供给客户端。