RESTful用户身份验证方法

我正在编写一个简单的身份验证服务，我想知道通过用户名和密码获取用户的最佳方法

比如说

/用户？用户名=foo，密码=bar

目前，它只返回用户的表示形式，该表示形式相当于

/用户/{id}

返回一个200

但我在想，如果我这样做的话，我可以更多地利用缓存，因此第一个请求只会将带有位置头的303返回到/users/10

这样，我可以有效地缓存/users/10中调用的结果，但不能缓存/users？username=foo&password=bar，因为这样不适合缓存

---

对我来说，它感觉更像“HTTP”，但显然它需要对客户端进行另一个HTTP调用；哪种方法是正确的？

快速查看有关REST调用安全（身份验证）的最佳实践是个好主意。这是一个很好的地方，可以看看旧的stackoverflow讨论线程：