刘晓晖 秦子实

摘要：随着微服务技术架构与企业各业务单元中台的兴起，越来越多的系统会开放各种用途的REST API，对API调用者的身份认证成为保护数据安全的第一道防线。认证方法应具有易集成部署与API耦合度低等特性，以方便对现有API认证方式的改进。本文介绍基于OAuth 2.0标准的密码式令牌认证的设计与部署方法，可对REST API进行用户名密码式身份认证及权限鉴别，该方法具有代码量低易于部署等特点，适用于企业内部各应用系统的REST API认证。

关键词：OAuth 2.0;REST API;Python

中图分类号：TP393      文献标识码：A

文章编号：1009-3044（2021）15-0056-02

1 概述

随着企业间业务系统及服务的联系越来越紧密，各系统和服务均开放了较多的API，供其他系统或用户进行调用。为了保护各系统的数据，需要对API调用者做出身份认证，并进行权限鉴别。普通的API第三方身份认证方式为第三方系统直接索取并提交用户的身份认证信息，API获得身份信息且确认后返回数据。该机制索取用户身份信息，首先存在信任问题和信息泄露风险;其次用户身份认证信息缺少失效机制，无法限制第三方获取数据的时效;此外，使用用户身份认证的权限通常即使用系统本身的权限管理机制，耦合程度较高，不利于开发、管理及后期扩展。

OAuth 2.0（以下简称OAuth2）是目前较流行的授权机制，通常用于向第三方应用提供用户数据或其他接口数据。OAuth2使用令牌（token）代替用户名密码进行身份认证与权限鉴别，因此用户信息泄露较低，并可以设置令牌时效，也可以直接在令牌中写入权限信息。……