Web services 如何在GAE web服务中提供身份验证（使用restlet框架）？

我正在为我的

GAE

应用程序寻找正确的身份验证方法

因为我在web服务中使用restlet框架，所以我发现Cookie是安全服务调用的好方法。现在我的疑问是：

什么是“签饼干”

在哪里存储cookie值？DB或任何静态类

如何为cookie提供加密

如果浏览器中禁用了cookie怎么办

---

有没有比cookie更好的机制

如果启用会话，将自动处理cookie：

现在，为所有用户处理会话，由您跟踪谁经过身份验证：

当用户登录时，返回到他们的。此数据可能包含其ID和到期时间

当一个请求传入时，查看会话中是否有该数据，以及该数据是否仍然有效

如果有效，继续正常操作

若会话无效或并没有身份验证数据，则返回错误（在REST情况下）或重定向到登录页面

---

所有这些功能通常都在一个单独的环境中执行。过滤器在servlet处理请求之前和之后处理请求，因此它们为您提供了截取请求和执行某些处理（如检查请求是否经过身份验证）的选项。

如果启用会话，将自动为您处理cookie：

现在，为所有用户处理会话，由您跟踪谁经过身份验证：

当用户登录时，返回到他们的。此数据可能包含其ID和到期时间

当一个请求传入时，查看会话中是否有该数据，以及该数据是否仍然有效

如果有效，继续正常操作

若会话无效或并没有身份验证数据，则返回错误（在REST情况下）或重定向到登录页面

---

所有这些功能通常都在一个单独的环境中执行。过滤器在servlet处理请求之前和之后处理请求，因此它们为您提供了截获请求并进行一些处理（如检查请求是否经过身份验证）的选项。

如果您正在开发RESTful服务器端应用程序，我不会将概念用作会话。REST意味着客户端保持客户端状态，因此服务器端会话是邪恶的。看看服务器提供的RESTLet:Cookie设置中的CookieSettings。这允许服务器端应用程序在客户端添加、修改或删除cookie。@koma您的意思是，所有客户端数据都必须以cookie的形式随每个请求一起传递？@koma:True，REST请求可能不是来自浏览器，在这种情况下，您需要在代码中显式处理会话cookie。OTOH，这与处理您自己的“cookie”有何不同？@koma:我查阅了RESTlet的

CookieSetting

：它执行浏览器自动执行的操作-将cookie发送到服务器。@Peter在RESTlet框架中，首先要编写一个验证器，检查通过基本身份验证传入的凭据。接下来，您将对后续请求使用CookieSetting。如果您正在开发RESTful服务器端应用程序，我不会使用会话的概念。REST意味着客户端保持客户端状态，因此服务器端会话是邪恶的。看看服务器提供的RESTLet:Cookie设置中的CookieSettings。这允许服务器端应用程序在客户端添加、修改或删除cookie。@koma您的意思是，所有客户端数据都必须以cookie的形式随每个请求一起传递？@koma:True，REST请求可能不是来自浏览器，在这种情况下，您需要在代码中显式处理会话cookie。OTOH，这与处理您自己的“cookie”有何不同？@koma:我查阅了RESTlet的

CookieSetting

：它执行浏览器自动执行的操作-将cookie发送到服务器。@Peter在RESTlet框架中，首先要编写一个验证器，检查通过基本身份验证传入的凭据。接下来，对后续请求使用CookieSetting。