自作したAPIに認証をかけたい

Question

今APIを自作しています。
正しいユーザからのリクエストがあった時だけ、レスポンスを返せるようにしたいです。

イメージとしては、下記のような事を実現したいです。

1. 最初に、POSTでユーザIDとパスワードをリクエストしてくる
2. 認証がOKだった時だけ、認証が通っているというレスポンスを返し、サーバにもそれを保存しておく
3. ユーザは次のリクエストの時に、2で貰った認証が通ったという証拠をつけてGETでリクエスト
4. サーバ側では3の値と、2でサーバに保存した何かを突き合わせて、照合がとれた場合のみレスポンスを返す

こんな感じの事を出来るだけ簡単に実現したいですが、何かいい方法はないでしょうか。

Answer 1

参考情報：

• 【初心者向け】PHP5とMySQLでつくるログイン機能のサンプルアプリケーション http://replication.hatenablog.com/entry/2014/06/30/005815
• PHPでTwitterのOAuth認証するサイトのサンプルページを作ってみました http://dwm.me/archives/3632
• PHPを利用したBasic認証の仕組み http://qiita.com/mpyw/items/dc2cb3632370389d700e

Answer 2

記載のイメージがほぼそのままよくあるセッションの仕組みだと思うのですがそれでは不十分だということでしょうか？

以下よくあるWebサーバのセッションを用いた認証
0. 最初に、POSTでユーザIDとパスワードをリクエストしてくる
0. 認証がOKだった時だけ、クッキーにランダムな値を生成してレスポンスとして返し、サーバにもその値をファイル名として認証情報を保存しておく
0. ユーザは次のリクエストの時に、2で貰ったクッキーをつけてリクエストを送る
0. サーバ側では3の値と、2でサーバに保存したファイル名を突き合わせてセッションデータとして用いる

Comments

[PruneMazui]

おっと被った

[hyper-drums-ko]

APIとのことですので、cookieではなくHTTPレスポンスボディですかね。
それ以外は上記の通りでよいかと。

Answer 3

PHP標準のsessionがまさしくその機能かと思います。

Answer 4

質問です。ステップ2でサーバに保存とありますが、これは何を防ぎたいために保存するのでしょうか。