Sunucu tarafı oturumları REST'i ihlal ediyor mu?

Göre Roy Fielding onun seminal tez içinde (HTTP şartname ilkesi yazarlarından biri) Mimari Stiller zaman DİNLENME tartışırken , o söz:

[E] istemciden sunucuya istek, isteği anlamak için gerekli tüm bilgileri içermelidir ve sunucuda depolanan herhangi bir bağlamdan yararlanamaz.

"Saklı bağlam" ile o bahsediyordur uygulama durumuna örn sonraki sayfanın sayfa numarası vs ne kaynak durumuna tartışmasız - herhangi bir veri deposunu, görüntü vb örneğin bütün mesele REST.

Saf dinlenme denemelerinin çoğunun (işbu belgede yukarıdaki teze uyan bir uygulama olarak tanımlanmıştır) oturum verilerinin sunucuda depolanmasına (kalıcı veya başka türlü) güvenilmeleri nedeniyle başarısız olması gerektiğini söylemek adil midir?

Bir oturum kavramı - özellikle Web geliştiricileri için - yaygındır, ancak yukarıdaki tanıma göre RESTful olur mu?

Evet diyorum, oturum durumu RESTful bir uygulama RESTful olmayan yapar. Önemsiz örnek, kız kardeşim Wall Street Journal'a abone oluyor. Düzenli olarak, ödeme duvarının arkasında bir şey okuyacak ve WSJ hesabı olmayan bir arkadaşınıza (WSJ aracılığıyla değil, kendi e-posta istemcisi aracılığıyla) bir bağlantı göndermeye karar verecek. Tıkla, gönder, başarısız. Kız kardeşimin bu URL'deki deneyimi arkadaşınınkinden farklı.

İlgili, ancak kesinlikle konuya bağlı değilim : İnternetteki önemli araştırma çabalarını desteklemek için tasarlanmış bir uygulamanın erken tasarım aşamasındayım ( görevler denir (düşünüyorum: steroidler ve LSD'deki yer işaretleri)). Görevin sahibi, verilerinin belirli bir görünümünü başka biriyle paylaşmak istiyor, ancak bu görünüm, kullanıcı arayüzüne erişmek için uygun izinlerle birlikte kullanıcı arayüzü durumunun (örneğin hangi verilerin hangi bölmelerde gösterildiği görselleştirmeleri) bir kombinasyonunu gerektirir. ve görüntülenen veriler. Alıcının amaçlanan görünümü alması için çok fazla depolanmış durum gerekir.

Geçerli çözümüm, görünüm için gerekli olan tüm UI / ACL / bilgisini ayrı bir nesnede saklamak ve o nesnenin URL'sini (muhtemelen bir UUID) döndürmektir . Görüntüleme nesnesine erişmenin, ona sahip olan herkesin aynı bilgi / deneyimi elde etmesi açısından RESTful olarak kabul edilebileceğine inanıyorum .

Sunucu tarafı oturumları REST'i ihlal ediyor mu?

Kesinlikle yaparlar! REST'i uyguladığınızda, sunucu tarafı oturumu olmamalıdır, aksi takdirde karma bir RPC / REST çözümünüz vardır.

İstemcinin, her yeni istek yapıldığında istemcinin kimliğini doğrulamak için gereken bilgiler de dahil olmak üzere, isteğe hizmet vermek için gereken tüm bağlamı bir RESTful hizmetine göndermesi gerekir. Sunucu, sonraki isteklerde daha hızlı hizmet verebilmek için bilgileri önbelleğe almakta serbesttir, ancak önbelleğe alınan bilgiler sunucu tarafı oturumuna eşit olmamalıdır. Başka bir deyişle, isteğin kendisi önbelleğe alınmış durumun yokluğunda bile işlenecek kadar bilgi içermelidir.

Muhtemelen "oturum verileri" ile ne demek istediğinize bağlıdır. Bu kesin bir terim mi?

İki taraf arasındaki güvenli iletişim genellikle sunucunun, istemcinin her istekle bir yetkilendirme yöntemi olarak sağlaması gereken sınırlı bir "erişim belirteci" oluşturmasını (ve depolamasını) içerir. Bu erişim belirteci zaten "oturum verileri" dediğim şeydir - sunucu tarafında depolanır, zaman sınırlıdır ve bir istemciyle (genellikle izinleri) ilişkilidir.

Böyle bir operasyon RESTful olmayan olarak etiketlenmiş olsaydı çok şaşırırdım. OAuth buna bir örnektir.

Ben uzman değilim ve burada kendime pek güvenmiyorum; Sadece yararlı olduklarını umduğum için görüşlerimi paylaşıyorum.

REST'in en önemli noktası, bir kaynağa giden bir URI'nin her zaman aynı kaynağa işaret etmesidir. Böylece kullanıcılar bu kaynak için bir referans verebilir ve herkes aynı şeyi görür. Buna Temsili Durum Transferi (REST) ​​denir. Sunucu durumu koruyor ve aynı URI için farklı bir kaynak sağlıyorsa, bunun artık saf REST olmadığını söyleyebilirim.

Oturumlar temel olarak durumsuz, RESTful uygulamalarına durum eklemek için kullanılır. Bu nedenle resmi olarak, RESTful uygulamanızı durumsal hale getirir, ancak sunucunun durumunun tutulması hayatınızı biraz kolaylaştırır, çünkü her bir istek / yanıtta tüm verileri ileri geri iletmek zorunda kalmazsınız .

Oturumlar ve daha genel olarak belirtmek gerekirse, bundan kaçınmanıza izin verir ve bunun performans (daha az veri aktarımı) ve güvenlik (kurcalanabilecek daha az veri) gibi bazı olumlu faydaları vardır.

Resmen REST tanımının bir kısmını ihlal Yani iken, bu RESTful uygulamaları görmek için nadir böylece yararlıdır yok oturumları aracılığıyla durumunu kullanın.

Fielding'in bu ifadeyle kastettiği, REST API'sini barındıran uygulama sunucusunun, ortam durumunu sahne arkası mekanizmasının bir tür isteğiyle ilişkilendirmemesidir. Uygulama sunucusu ile veritabanı sunucusu arasındaki farkı göz önünde bulundurun . REST kısıtlaması, uygulama sunucusunun durumsuz olması gerektiğidir . Ancak, uygulama sunucusu, Yetkilendirme üstbilgisinde veya Uri'nin kendisinde kullanıcı / parola birleşimi gibi, isteğin bir parçası olan bilgilere dayanarak kaynak durumu isteklerini veritabanı sunucusuna devredebilir . Sonuçta, REST istemci / sunucu modelini temel alır.