curlを使ってAPIサーバにリクエストを送られた場合の対処法

Question

API設計をし、curlでリクエストを送りPOSTやGETなどの処理ができるようにしています。
getだとかは、なんら問題ないと思うのですが。
例えば認証機能をもたせた設計にしている場合、勝手に個人情報を編集されたりする可能性があると思います。

この時の対処法としては、サーバサイドでセッションを確認してログインしたユーザとサーバに問い合わせたユーザが同一であるという確認を取る方法があるかなと思います。どうでしょうか？

アドバイスお願いします。

Answer 1

そうですね。そういう機構がないと、curlに限らず、htmlでpostするformを作ってしまえばいろいろできてしまいそうです。

ただセッションとなるとクッキーが必要になりますし、ログインというアクションをとってそのセッションIDがログイン済みという状態にする必要が出て来ると思います。

httpsでOAuthなどの認証トークンを一緒に送るというのが多いんじゃないですかね。
twitterだとかgistだとかをcurlでやっているサンプルを見てみるのが参考になるんじゃないかと思います。

Answer 2

要件がいまいちわからないので具体的な回答ができませんが、
なりすましを防ぐ方法として回答します。

簡単な方法は他の方が回答している通り認証トークンです。

もっと厳密にするなら、クライアント証明書を利用する方法もあります。