rest apiwebservice接口和rest api接口一样?各自调用方法一样?求 有经验的大神帮忙解释下哈

rest api  时间:2022-02-22  阅读:()

如何用 JIRA REST API 创建 Issue

展开全部 Data { "fields": { "project": { "key": "TEST" }, "summary": "REST ye merry gentlemen.", "description": "Creating of an issue using project keys and issue type names using the REST API", "issuetype": { "name": "Bug" } }

内部系统可以做成通过REST API的方式调用吗

想要为开发工程师们开发一个既能满足REST约束条件和原则又不像OAuth OAuth 那样复杂 plexity ,仅仅使用简单的传值语句或者其它简单但同样安全的方法就能实现的web API? 聪明人会有聪明的想法… 问题 直接通过HTTP literally passing the credentials over HTTP以文本方式传输鉴权信息可能会被破译; 尤其在 Gawker incident, 再以文本或是弱加密的方式传输鉴权信息是非常不安全的做法 weakly-hashed anything is usually a bad idea. 即便是使用哈希加密后还是很有可能被人根据彩虹表 Rainbow Table破译出与用户名匹配的密码(个别案例) 这可该怎么办,真是郁闷… 也许你又会想到很多公共的API popular public APIs 在请求中采用双数据的模式:一个公有值一个(最好是有)只有属主能访问的私有值。 ”还是有点不对!”这不跟原来(用户名密码模式)文本模式差不多么,还是可能会被(嗅探器)破译。 这时候你可能准备放弃并采用OAuth模式了,但仍坚信必有某种简单方法能实现公用webAPI安全访问私有鉴权信息。 解决方案 连续2天的Peyote实验后(你可能会找到更好的放松办法),结论终于呈现在你眼前:Amazon是拥有最大的、使用最多的在线网络API的网络服务之一,并且根本不支持OAuth! 经过一个下午长时间的狂想之后,你最终败下阵来,并看到Amazon是如何保持API请求安全的。你不清楚为什么,但读完整页关于如何为Amazon网络服务装配一个请求后,你依然觉得不完全合理。这个“签名”和什么连在一起?代码示例中的“data”参数是什么?这样,你会继续查找关于“安全API设计”的文章。。。 当遇到其他人问同样的问题时,你看到一些指出"HMAC"或其他事物的优秀回复,但还是不太确定。 你找到其他鼓励你使用“HMAC”的文章并且你正H-FINE地使用它,如果有人将“HMAC”解释成简明的H_ENGLISH的话。 你的确偶遇了一个有道理的蒸馏的基本概念,它是这样一简明的英语描述的: 一个服务器和客户端知道一个公钥和一个私钥;只有服务器和客户端知道私钥,但每个人都知道公钥。。。但不关心别人所知道的。 一个客户端生成一个唯一的HMAC(哈希)表示它到服务器的请求。通过把请求数据(参数和值或XML/JSON或任何它计划发送的数据)以及请求数据的散列blob和私钥结合来实现。 客户端随后将这个HASH以及所有它将要发送的参数和值一并发给服务器。 服务器接到请求,并使用与客户端相同的方式重新生成自己独有的基于提交值的HMAC(哈希)。 然后,服务器比较这两个HMAC,如果相同,服务器就信任这个客户端并执行请求。 这似乎很直截了当。最初让你困惑的是,你以为原始请求是经过加密传送的,但实际上,HMAC方法所做的一切只是使用只有客户端和服务器才知道的私钥将参数生成为一些独特的校验和(哈希)。 随后,客户端将这个校验和及原始参数和值发给服务器,然后服务器复核校验和(哈希)以确定它接受客户端所发的请求。 因为根据假设,只有在客户端和服务器知道私钥,我们假设如果他们的哈希匹配,那么它们会互相信任,以至服务器随即正常处理这个请求。 你知道在现实中,这就相当于某人过来对你说:“Jimmy让我告诉你把钱给Johnny”,但你不知道这个人是谁,所以你要伸出手去试探他,看看他是否知道这个秘密握手。 如果三次握手证明无误,则通讯继续进行,否则中断通讯。. 你明白了大概是怎么回事,但还是想会不会还有更好的方法呢?还好,有tarsnap网站 tarsnap帮你答疑解惑。看看亚马逊是如何解决签名认证问题的Amazon screwed this up with Signature Version 1. 看完了亚马逊的web service是如何鉴权的,re-read how Amazon Web Services does authentication 讲的确实有道理,整个流程如下: [客户端]在调用REST API之前,首先将待发送消息体打包,bine a bunch of unique data together(websevice端将要接收的数据) [客户端]用系统分派的密钥使用哈希(最好是HMAC-SHA1 or SHA256 ) 加密(第一步的数据). [客户端]向服务器发送数据: 用户身份认证信息例如,用户ID,客户ID或是其他能别用户身份的信息。这是公共API,大家都能访问的到(自然也包括了那些居心叵测的访问者)系统仅仅需要这部分信息来区分发信人而不考虑可靠与否(当然可以通过HMAC来判断可靠性). 发送生成的HMAC码. 发送消息体(属性名和属性值),如果是私有信息需要加密,像是(“mode=start&number=4&order=desc”或其他不重要的信息)直接发送即可. (可选项)避免重放攻击 “replay attacks” o的唯一办法就是加上时间戳。在使用HMAC算法时加入时间戳,这样系统就能依据一定的条件去验证是否有重放的请求并拒绝. [服务器端]接收客户端发来的消息. [服务器端] (参看可选项)检查接收时间和发送时间的间隔是否在允许范围内(5-15分)以避免重放攻击replay attacks. 提示: 确保待检对象的时区无误daylight savings time 更新: 最近得到的结论就是直接使用UTC时区而无需考虑DST的问题 use UTC time . [服务器端]使用发送请求中用户信息(比如.API值)从数据库检索出对应的私匙. [服务器端] 跟客户端相同,先将消息体打包然后用刚得到的私匙加密(生成HMAC)消息体. (参看可选项) 如果你使用了加入时间戳的方式避免重放攻击,请确保服务端生成的加密信息中拥有和客户端相同的时间戳信息以避免中间人攻击man-in-the-middle attack. [服务器端] 就像在客户端一样,使用HMAC哈希加密刚才的信息体. [服务器端] 将服务器端刚生成的哈希与客户端的对比。如果一致,则通讯继续;否则,拒绝请求! 提示: 在打包消息体的时候一定要考虑清楚,如果像亚马逊进行签名版本1中信息识别那样会面临哈希冲突的问题 open yourself up to hash-collisions! (建议:将整个包含URL的请求加密即可!) 特别提示:私匙绝对不能在通讯过程中传递,它仅仅用来生成HMAC,服务器端会自动查询出它的私匙并重新生成自己的HMAC.我来翻译公匙仅仅用来区分不同的用户,即使被破解也无所谓。因为此时的消息无需判断其可靠性,服务端和客户端还是要通过私匙来加密(比如,前缀、后缀,倍数等等) 10/13/11更新:Chris最近发现 pointed out 如果在HMAC计算中加入了URI或是HTTP请求/回复,攻击者更易通过更改末端或是HTTP方法来搞破坏。比如,在HTTP POST方法中将/issue/create改成/user/delete。

java 如何模拟浏览器调用rest api接口

.demo; import?java.io.BufferedReader; import?java.io.IOException; import?java.io.InputStreamReader; import?javax.xml.bind.DatatypeConverter; .apache..apache..apache..demo; import?java.io.BufferedReader; import?java.io.IOException; import?java.io.InputStreamReader; import?javax.xml.bind.DatatypeConverter; .apache..apache..apache.http.impl.client.DefaultHttpClient; public?class?restTest?{ ???public?static?voidmain(String[]?args)?{ ???????try?{ ???????????DefaultHttpClient?Client?=?newDefaultHttpClient(); ???????????HttpGet?httpGet?=?newHttpGet("你的地址"); ???????????String?encoding?=DatatypeConverter.printBase64Binary("admin:admin".getBytes("UTF-8")); ??????????httpGet.setHeader("Authorization",?"Basic?"?+encoding); ???????????HttpResponse?response?=?Client.execute(httpGet); ???????????System.out.println("response?="?+?response); ???????????BufferedReader?breader?=?newBufferedReader(new?InputStreamReader(response.getEntity().getContent())); ???????????StringBuilder?responseString?=?newStringBuilder(); ???????????String?line?=?""; ???????????while?((line?=?breader.readLine())?!=null)?{ ???????????????responseString.append(line); ???????????} ???????????breader.close(); ???????????String?repsonseStr?=responseString.toString(); ???????????System.out.println("repsonseStr?="?+?repsonseStr); ???????}?catch?(IOException?e)?{ ???????????e.printStackTrace(); ???????} ???} }收起

webservice接口和rest api接口一样?各自调用方法一样?求 有经验的大神帮忙解释下哈

不一样 WS 有WS的客户端调用 REST 就是简单的HTTP请求,还可以浏览器直接调用 基于REST FUL的接口性能相比WS 好多了 WS的体系现在很完整,REST是没兴起多久的方式,不过后面REST会占很大份额 楼主,没疑问就采纳了吧

百纵科技云主机首月9元,站群1-8C同价,美国E52670*1,32G内存 50M 899元一月

百纵科技:美国高防服务器,洛杉矶C3机房 独家接入zenlayer清洗 带金盾硬防,CPU全系列E52670、E52680v3 DDR4内存 三星固态盘阵列!带宽接入了cn2/bgp线路,速度快,无需备案,非常适合国内外用户群体的外贸、搭建网站等用途。官方网站:https://www.baizon.cnC3机房,双程CN2线路,默认200G高防,3+1(高防IP),不限流量,季付送带宽美国洛杉矶C...

哪个好Vultr搬瓦工和Vultr97%,搬瓦工和Vultr全方位比较!

搬瓦工和Vultr哪个好?搬瓦工和Vultr都是非常火爆的国外VPS,可以说是国内网友买的最多的两家,那么搬瓦工和Vultr哪个好?如果要选择VPS,首先我们要考虑成本、服务器质量以及产品的售后服务。老玩家都知道目前在国内最受欢迎的国外VPS服务商vultr和搬瓦工口碑都很不错。搬瓦工和Vultr哪个稳定?搬瓦工和Vultr哪个速度快?为了回答这些问题,本文从线路、速度、功能、售后等多方面对比这两...

Pia云服务香港月20元游戏提供香港CN2云服务器

Pia云商家在前面有介绍过一次,根据市面上的信息是2018的开办的国人商家,原名叫哔哔云,目前整合到了魔方云平台。这个云服务商家主要销售云服务器VPS主机业务和服务,云服务器采用KVM虚拟架构 。目前涉及的机房有美国洛杉矶、中国香港和深圳地区。洛杉矶为crea机房,三网回程CN2 GIA,自带20G防御。中国香港机房的线路也是CN2直连大陆,比较适合建站或者有游戏业务需求的用户群。在这篇文章中,简...

rest api为你推荐
李智慧李智慧和韩智慧是一个人吗?个人的详细资料怎样的?waze去国外旅行,哪个APP比较实用y码S`M`XXL`L`XL身高体重分别是多少?什么是生态系统生态系统的我主要特征是什么?数据库界面数据库怎么进入界面点心os移动OMS系统跟点心OS系统,他两不是都基于Android改造出来的么?差别在哪?软件开发技术文档软件开发文档重要吗?鸿道集团陈鸿道简历平安易贷app平安易贷可靠吗为什么只能贷一次vod系统详述下VOD系统
厦门域名注册 宿迁服务器租用 冰山互联 singlehop westhost oneasiahost ixwebhosting java空间 网站挂马检测工具 静态空间 网站卫士 国外代理服务器地址 稳定免费空间 安徽双线服务器 空间登入 便宜空间 百度云加速 德隆中文网 atom处理器 国外网页代理 更多