ASP.NET Web API を使用して RESTful Web サービスを構築しています。他のリクエストが正常に行われる前に「ログイン」リクエストが必要であるため、セッション認証を使用するのはあまりRESTfulではないことを読みました。さらに、クライアントは状態を維持する必要があります。
私の最初の設計は、クライアントが SSL 経由の基本的な HTTP 認証を使用して「ログイン」要求を呼び出すようにすることでした。次に、Web サービスは資格情報を検証し、セッション キーで応答します。その後、クライアントはそのセッション キーを使用して、後続のすべての要求に署名します。Web サービスは、これらの要求のいずれかを受信すると、セッション キーを検索し、同じ方法で要求に署名し、2 つの署名が等しいかどうかを確認します。
各リクエストでユーザー名/パスワードを送信することなく、このセッション認証を回避することは可能ですか? 資格情報の検証は、Web サービス内では行われません (ユーザーを維持する別のサーバーにルーティングされます)。各リクエストを検証する必要がある場合、パフォーマンスが影響を受けるのではないかと心配しています。