Крик души

[ie]

Шифровать то можно, но разве передача такой информации в url не дикий антипаттерн?

ну хорошо. а как правильно передавать?
научите. зарыть гденить в хэдер, так типа будет секюр и злые русские хакеры никагда не дагадеются туда посмотерть?

[ie]

а как вы будете защищать api не передовая логин инфо?
научите... правда интересно.

речь про урл, а не передачу. обычный пост по защищенному https дает достаточно гарантий.

так как передовать то? куда складывют пароли нармальные пасаны респектфул девелоперы?

[Dmitry67]

Шифровать то можно, но разве передача такой информации в url не дикий антипаттерн?

ну хорошо. а как правильно передавать?
научите. зарыть гденить в хэдер, так типа будет секюр и злые русские хакеры никагда не дагадеются туда посмотерть?

Дело не в какерах
Поделка вообще для глубокого интранет
Но если бы я это не заметил и мои коллеги увидели бы мой пароль на экране во время презентации, то я стал бы посмешищем

[iDesperado]

так как передовать то? куда складывют пароли нармальные пасаны респектфул девелоперы?

обычный http post. ну и пост мне кажется обычно идет на веб сервер, который уже делает рест вызов на соответствующий вебсервис, а не как тут api торчит наружу.

[ie]

Дело не в какерах
Поделка вообще для глубокого интранет

вот видите какие детали всплывают.

Но если бы я это не заметил и мои коллеги увидели бы мой пароль на экране во время презентации, то я стал бы посмешищем

ну понятно.. тут эмошнл аспект очень сильный...

[ie]

так как передовать то? куда складывют пароли нармальные пасаны респектфул девелоперы?

обычный http post. ну и пост мне кажется обычно идет на веб сервер, который уже делает рест вызов на соответствующий вебсервис, а не как тут api торчит наружу.

http пост с паролем или без?
и что вам мешает сделать http post на localhost:8080/api ?
url не нравиться?

[iDesperado]

http пост с паролем или без?
и что вам мешает сделать http post на localhost:8080/api ?
url не нравиться?

с паролем.
ничего не мешает.
не нравится.
к чему этот тупой тролинг ?

[Palych]

Думаю главные монстры будут внутри кода. Креативность там наверняка затмит самые смелые предложения.

[Dmitry67]

Думаю главные монстры будут внутри кода. Креативность там наверняка затмит самые смелые предложения.

Я уже смотрел
Таки да (((
Количество багов пропорционально числу найденных
А количество идиотизма пропорционально сразу увиденному

[Flash-04]

Хм, ну не делают так, даже с https.
Credentials передают в POST.
Почему? Очень просто: сейчас, любая уважающая себя организация держит логи. При таком подходе в них будут все пароли пользователей, а это недопустимо.
В моей практике был случай, когда в логах было даже содержимое POST запросов. После указания на этот факт, их перестали записывать.

[Ion Tichy]

а как вы будете защищать api не передовая логин инфо?
научите... правда интересно.

речь про урл, а не передачу. обычный пост по защищенному https дает достаточно гарантий.

так как передовать то? куда складывют пароли нармальные пасаны респектфул девелоперы?

The HTTP Authorization request header... ? Я угадал?

[Flash-04]

По URL похоже API. Для них обычно ключи выдают, которые уже могут передаваться по разному. Например в полях HTTP запроса.

[Ion Tichy]

Хм, ну не делают так, даже с https.
Credentials передают в POST.
Почему? Очень просто: сейчас, любая уважающая себя организация держит логи. При таком подходе в них будут все пароли пользователей, а это недопустимо.
В моей практике был случай, когда в логах было даже содержимое POST запросов. После указания на этот факт, их перестали записывать.

Уточните пжста - логи чего? Что по проводам идет? SQL queries с параметрами и результатами? Что, скажем, JBoss на уровне TRACE пишет? Всего отовсюду?

[Flash-04]

Логи веб приложения, логи веб сервера. И таки да, всего.

[Dmitry67]

Я вынес два урока
Впрочем, это было повторение пройденного
1. Услуги senior дешевле услуг junior
2. В ТЗ надо вставлять строку: Особенно важна переменная noSilent. Если исполнитель придет и спросит - WTF? то все хорошо. А если вопросов по ТЗ не возникло, то надо насторожиться