Java Restlet、GWT和Sessions

在Restlet Java API和GWT之间进行会话的最佳方式是什么？在我的应用程序中，用户将使用用户名和密码登录，如果成功验证，则返回用户名。然后将其存储在cookie中，并在调用API时使用。这显然是完全不安全的，因为有人可以更改用户ID并开始更新和检索另一个用户

---

是否也是使用userID将令牌交回的最佳方式，并且API调用必须包含该令牌？

令牌是一种很好的方式，我在很多实现中都看到过它。通常，这是作为每个请求的一个简单参数移交的。遵循RESTful的思想，您每次也可以在HTTP请求中包含凭据。

关于第二点，这是否意味着实现类似HTTP摘要的功能？这是否意味着我必须在Cookie中存储用户名和密码？我考虑过这一点，但我认为这对共享计算机来说是一个安全威胁？很好。我要说，拿着令牌走。您有任何超时要求吗？我在“野外”的经验是有限的，我通常使用restfulwebservices在封闭环境中进行接口，因此安全性不是最大的问题。