链接应该包含HATEOAS中的身份验证令牌吗？

Question

我正在使用Spring MVC和Spring HateOAS来制作一个restful和无状态的JSON API。

http://some_host/api/foo/bar?token=abcd

{
    "label" : "foo",
    "links" : [
        "rel" : "self",
        "href" : "http://some_host/api/foo/bar/1234656"
    ]
}

我找不到任何建议或惯例。

Answer 1

通常，身份验证令牌通过标准HTTP头（如HTTP基本或摘要的情况下的授权头）进行通信。另一种常见的方法是通过cookie。在Servlet环境中，这通常是JSESSIONID cookie。

一般来说，您不应该看到作为请求URL的一部分传递的身份验证令牌。