如何理解“RESTful API是无状态的”？

1 回答

• 56

  在REST应用程序中，每个请求必须包含服务器必须理解的所有信息，而不是依赖于服务器记住先前的请求 .

  在服务器上存储会话状态违反了REST体系结构的无状态约束 . 因此会话状态必须完全由客户端处理 .

  继续阅读以了解更多详情 .

  会话状态

  传统Web应用程序使用远程会话 . 在这种方法中，应用程序状态完全保留在服务器上 . 请参阅Roy T. Fielding的dissertation中的以下引用：

  3.4.6远程会话（RS）远程会话样式是客户端 - 服务器的变体，它试图最小化客户端组件而不是服务器组件的复杂性或最大化重用 . 每个客户端在服务器上启动会话，然后在服务器上调用一系列服务，最后退出会话 . 应用程序状态完全保留在服务器上 . [...]

  虽然这种方法带来了一些优势，但它降低了服务器的可扩展性：

  远程会话样式的优点是，在服务器上集中维护接口更容易，减少了在扩展功能时对已部署客户端中的不一致性的担忧，并且如果交互在服务器上使用扩展会话上下文，则可提高效率 . 缺点是由于存储的应用程序状态，它降低了服务器的可伸缩性，并降低了交互的可见性，因为监视器必须知道服务器的完整状态 .

  无状态约束

  REST架构样式是在包含服务器无状态的集合约束的顶部定义的 . 根据Fielding，REST无状态约束定义如下：

  5.1.3无状态[...]从客户端到服务器的每个请求必须包含理解请求所需的所有信息，并且不能利用服务器上任何存储的上下文 . 因此，会话状态完全保留在客户端上 . [...]

  此约束会导致可见性，可靠性和可伸缩性的属性：

  可见性得到改善，因为监控系统不必超出单个请求数据，以确定请求的完整性质 . 可靠性得到改善，因为它简化了从部分故障中恢复的任务 . 可扩展性得到改善，因为不必在请求之间存储状态允许服务器组件快速释放资源，并进一步简化实现，因为服务器不必跨请求管理资源使用 .

  身份验证和授权

  如果客户端请求需要身份验证的受保护资源，则每个请求都必须包含要经过适当身份验证/授权的所有必需数据 . 请参阅RFC 7235中的这句话：

  HTTP认证被认为是无状态的：认证请求所需的所有信息必须在请求中提供，而不是依赖于服务器记住先前的请求 .

  身份验证数据应属于标准HTTP Authorization标头 . 来自RFC 7235：

  4.2 . 授权Authorization标头字段允许用户代理使用源服务器进行身份验证 - 通常（但不一定）在收到401（未授权）响应后 . 其值由包含所请求资源领域的用户代理的认证信息的凭证组成 . [...]

  此HTTP标头的名称很不幸，因为它带有身份验证而不是授权数据 .

  对于身份验证，您可以使用Basic HTTP Authentication方案，该方案使用Base64编码作为用户名和密码对传输凭据：

  Authorization: Basic <credentials>
  

  如果您不想在每个请求中发送用户名和密码，则可以将用户名和密码交换为令牌（例如as JWT）在每个请求中发送 . JWT可以包含用户名，到期日期以及可能与您的应用程序相关的任何其他元数据：

  Authorization: Bearer <token>
  

  您的服务器可能出现问题

  一旦你有一个会话标识符，我想在你的应用程序的某个地方正在创建一个HTTP会话 . 它可以在您自己的代码中或您正在使用的框架的代码中 .

  在Java应用程序中，必须确保调用以下方法： not ：

  • HttpServletRequest#getSession()

  • HttpServletRequest#getSession(boolean)与 true

  回复于 2024-04-25T08:01:07+08:00