关于REST API无状态特性的两个技术疑问

1. 受保护的REST API每次调用都必须携带认证凭证吗？ #

是的，因为REST API的无状态特性意味着服务器不会保存任何客户端的会话状态——它对每一次请求的处理都是独立的，完全不记得之前的请求。所以每次调用受保护接口时，必须携带有效的认证凭证，服务器才能识别你的身份并授权访问。

不过实际开发里有几种优化方式，能让这个过程更顺畅：

• 使用JWT（JSON Web Token）：客户端登录后拿到JWT，之后每次请求把它放在Authorization头里（比如Bearer <token>），服务器只需要验证token的有效性，不用存会话。
• 利用HTTP Cookie：把凭证存在Cookie里，浏览器会自动在每次请求时带上，但要注意服务器不能在这里保存会话状态——只是通过Cookie里的凭证（比如加密的用户ID或token）来验证身份，这依然符合REST的无状态要求。
• 基础认证（HTTP Basic Auth）：虽然简单，但通常只用于测试环境，因为凭证是明文编码的，安全性低。

核心逻辑不变：服务器不存会话，所以每次请求必须带能证明身份的信息。

2. 客户端维护状态的Web应用（比如电商）能基于REST API实现吗？ #

完全可以，而且这是很常见的做法。REST的无状态是指服务器不维护客户端的会话状态，但不代表应用不能有状态——状态可以由客户端保存，或者由服务器关联到唯一标识（而非会话）来存储。

举电商购物车的例子：

• 对于未登录的访客：客户端可以把购物车数据存在localStorage或sessionStorage里；或者服务器生成一个唯一的访客ID（比如UUID），存在客户端的Cookie中，每次请求购物车接口时带上这个ID，服务器从数据库里取出对应的购物车数据——这里服务器只是根据ID查数据，并没有保存会话，依然是无状态的。
• 对于已登录用户：用户登录后，服务器通过认证凭证（比如JWT里的用户ID）关联购物车数据，每次请求时带上凭证，服务器根据用户ID查询对应的购物车状态，同样不需要维护会话。

总结来说，只要状态的存储和关联不依赖服务器的内存会话，而是通过客户端携带的标识或客户端本地存储来实现，就完全符合REST API的无状态要求，电商这类应用自然可以基于REST API构建。

内容的提问来源于stack exchange，提问作者user3103957