認証

REST APIへのアクセスは認証済みユーザーに限定されています。リクエストの認証方法は以下の通りです:

• クッキーで設定されたASP.NETフォーム認証チケット。
• Authenticateリソースを使って取得したトークンを含むカスタムヘッダーX-Auth-Token。
• CreateトークンまたはOAuthを使って作成された新たに生成されたトークン。

!ヒントOAuthメソッドに従ってトークンを作成することをお勧めします。

クッキーやトークンは、ユーザーがリクエストが行われるたびに認証プロセスを経る必要がないように設計されています。

クッキーは主にブラウザで使用されます。ユーザーはウェブベースのフォームを使って資格情報を入力し、ブラウザはこれらの認証情報をサーバーに送信します。認証情報が有効であれば、サーバーはブラウザにメッセージを返し、ユーザーを特定する一意のセッションIDを持つクッキーを作成するよう指示します。このクッキーはブラウザがサーバーに送るすべてのリクエストに含まれており、サーバーはリクエストを行ったユーザーを特定できます。

APIと通信する非ブラウザ(すなわち別のAPI)はクッキーの扱い方を知らず、別の方法で認証する必要があります。しかし、認証の主な原則は変わりません。まず第三者がサーバーに認証情報を提供する必要があります。サーバーは認証情報を確認し、有効であれば各ユーザーごとに一意のトークンを発行します。このトークンはクッキーに保存されているセッションIDとまったく同じ動作をします。すべてのリクエストで、このアクセストークンはX-Auth-Tokenヘッダーに含める必要があります。

クッキーとは異なり、アクセストークンは手動で取り消されない限り期限切れになりません。