Я разрабатываю RESTful API для своего приложения на GAE python, и сейчас я пытаюсь найти лучший способ защитить этот API. У меня есть собственный механизм членства/аутентификации в этом приложении.
как лучше всего это сделать?
Во-первых, откажитесь от HTTP-аутентификации. Не рекомендуется использовать его в настоящем REST API, поскольку он находится в файлах cookie.
Я бы пошел с OAuth. Существует библиотека под названием appengine_oauth_provider, которая может помочь вам приступить к реализации собственного провайдера.
Вы можете использовать учетную запись службы Google для аутентификации пользователя. Тем не менее, люди по-прежнему могут зарегистрировать учетную запись и использовать ваш API, и, безусловно, ваш счет за движок приложения возрастет. Они только что представили Google Cloud Endpoints на Google I/O 2012. У вас будет идентификатор клиента, который будет использоваться только в вашем клиентском приложении (Android, iOS).
Google I/O 2012 — Создание серверных частей Mobile App Engine для Android, iOS и Интернета
Если вы заинтересованы, вы должны попробовать подписаться на доверенного тестировщика на
http://endpoints-trusted-tester.appspot.com/
