我可以在我的 REST API 上获得一些帮助。我正在编写一个使用 Express、MongoDB 并在客户端具有 Backbone.js 的 Node.js 应用程序。在过去的两天里，我一直在努力解决所有这些问题，但运气不佳。我已经 checkout :
我想让我的后端和前端尽可能分开，所以我认为使用精心设计的 REST API 会很好。我的想法是，如果我有机会开发 iPhone 应用程序(或其他类似的东西)，它可以使用 API 来访问数据。
但是，我希望这是安全的。用户登录了我的网络应用程序，我想确保我的 API 是安全的。我阅读了有关 OAuth、OAuth 2.0、OpenID、Hmac、哈希等的信息...我想避免使用外部登录(Facebook/Twitter/等)我希望注册和登录在我的应用程序/服务器上。
...但我仍然在这里感到困惑。也许是深夜，或者我的大脑只是被炒了，但我真的可以在这里做一些步骤。创建安全 API 的步骤是什么？
任何帮助、任何信息、任何示例、步骤或任何东西都会很棒。请帮忙!
最佳答案
按照提高安全性/复杂性的顺序:
许多 API 库可以让您在其中构建它(例如 Django 中的活塞)，或者您可以让您的网络服务器处理它。 Nginx 和 Apache 都可以使用服务器指令通过简单的 b64 编码密码来保护站点。这不是世界上最安全的东西，但它至少是一个用户名和密码!
如果您使用的是 Nginx，您可以像这样在主机配置中添加一个部分:
auth_basic "Restricted";
auth_basic_user_file /path/to/htpasswd;
(把它放在你的 location/ block 中)
文档:http://wiki.nginx.org/HttpAuthBasicModule
您需要获取 python 脚本来生成该密码并将输出放入文件中:http://trac.edgewall.org/browser/trunk/contrib/htpasswd.py?format=txt
文件的位置无关紧要，只要 Nginx 可以访问它。
保护从您的服务器到应用程序的连接，这是最基本的，可以防止中间人攻击。
你可以用 Nginx 来做这件事，它的文档非常全面:http://wiki.nginx.org/HttpSslModule
为此提供自签名证书就可以了(而且免费!)。
这些可以是您喜欢的任何格式，但如果您需要，它们可以让您撤销访问权限。如果您正在开发连接的两端，则可能不是您的完美解决方案。当您有第三方使用 API(例如 Github)时，往往会使用它们。
OAuth 2.0 是这里的首选。虽然我不知道该规范的基本工作原理，但它是现在大多数身份验证(Twitter、Facebook、Google 等)的事实上的标准，并且有大量的库和文档可以帮助您实现这些。话虽如此，它通常用于通过要求第三方服务进行身份验证来对用户进行身份验证。
鉴于您在两端都进行开发，将您的 API 置于 Basic HTTP Auth 之后并通过 HTTPS 提供服务可能就足够了，特别是如果您不想浪费时间搞乱 OAuth。
关于javascript - 保护我的 Node.js 应用程序的 REST API？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/9119648/
我需要在客户计算机上运行Ruby应用程序。通常需要几天才能完成(复制大备份文件)。问题是如果启用sleep，它会中断应用程序。否则，计算机将持续运行数周，直到我下次访问为止。有什么方法可以防止执行期间休眠并让Windows在执行后休眠吗？欢迎任何疯狂的想法;-) 最佳答案 Here建议使用SetThreadExecutionStateWinAPI函数，使应用程序能够通知系统它正在使用中，从而防止系统在应用程序运行时进入休眠状态或关闭显示。像这样的东西:require'Win32API'ES_AWAYMODE_REQUIRED=0x0
对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl
Rackup通过Rack的默认处理程序成功运行任何Rack应用程序。例如:classRackAppdefcall(environment)['200',{'Content-Type'=>'text/html'},["Helloworld"]]endendrunRackApp.new但是当最后一行更改为使用Rack的内置CGI处理程序时，rackup给出“NoMethodErrorat/undefinedmethod`call'fornil:NilClass”:Rack::Handler::CGI.runRackApp.newRack的其他内置处理程序也提出了同样的反对意见。例如Rack
我想用ruby编写一个小的命令行实用程序并将其作为gem分发。我知道安装后，Guard、Sass和Thor等某些gem可以从命令行自行运行。为了让gem像二进制文件一样可用，我需要在我的gemspec中指定什么。 最佳答案 Gem::Specification.newdo|s|...s.executable='name_of_executable'...endhttp://docs.rubygems.org/read/chapter/20 关于ruby-在Ruby中编写命令行实用程序
我构建了两个需要相互通信和发送文件的Rails应用程序。例如，一个Rails应用程序会发送请求以查看其他应用程序数据库中的表。然后另一个应用程序将呈现该表的json并将其发回。我还希望一个应用程序将存储在其公共(public)目录中的文本文件发送到另一个应用程序的公共(public)目录。我从来没有做过这样的事情，所以我什至不知道从哪里开始。任何帮助，将不胜感激。谢谢! 最佳答案 无论Rails是什么，几乎所有Web应用程序都有您的要求，大多数现代Web应用程序都需要相互通信。但是有一个小小的理解需要你坚持下去，网站不应直接访问彼此
我尝试运行2.x应用程序。我使用rvm并为此应用程序设置其他版本的ruby:$rvmuseree-1.8.7-head我尝试运行服务器，然后出现很多错误:$script/serverNOTE:Gem.source_indexisdeprecated,useSpecification.Itwillberemovedonorafter2011-11-01.Gem.source_indexcalledfrom/Users/serg/rails_projects_terminal/work_proj/spohelp/config/../vendor/rails/railties/lib/r
刚入门rails，开始慢慢理解。有人可以解释或给我一些关于在application_controller中编码的好处或时间和原因的想法吗？有哪些用例。您如何为Rails应用程序使用应用程序Controller？我不想在那里放太多代码，因为据我了解，每个请求都会调用此Controller。这是真的？ 最佳答案 ApplicationController实际上是您应用程序中的每个其他Controller都将从中继承的类(尽管这不是强制性的)。我同意不要用太多代码弄乱它并保持干净整洁的态度，尽管在某些情况下ApplicationContr
我是一个Rails初学者，但我想从我的RailsView(html.haml文件)中查看Ruby变量的内容。我试图在ruby中打印出变量(认为它会在终端中出现)，但没有得到任何结果。有什么建议吗？我知道Rails调试器，但更喜欢使用inspect来打印我的变量。 最佳答案 您可以在View中使用puts方法将信息输出到服务器控制台。您应该能够在View中的任何位置使用Haml执行以下操作:-puts@my_variable.inspect 关于ruby-on-rails-如何在我的R
我喜欢使用Textile或Markdown为我的项目编写自述文件，但是当我生成RDoc时，自述文件被解释为RDoc并且看起来非常糟糕。有没有办法让RDoc通过RedCloth或BlueCloth而不是它自己的格式化程序运行文件？它可以配置为自动检测文件后缀的格式吗？(例如README.textile通过RedCloth运行，但README.mdown通过BlueCloth运行) 最佳答案 使用YARD直接代替RDoc将允许您包含Textile或Markdown文件，只要它们的文件后缀是合理的。我经常使用类似于以下Rake任务的东西:
rails中是否有任何规定允许站点的所有AJAXPOST请求在没有authenticity_token的情况下通过？我有一个调用Controller方法的JqueryPOSTajax调用，但我没有在其中放置任何真实性代码，但调用成功。我的ApplicationController确实有'request_forgery_protection'并且我已经改变了config.action_controller.consider_all_requests_local在我的environments/development.rb中为false我还搜索了我的代码以确保我没有重载ajaxSend来发送