我正在实现一个 REST 风格（注意：它需要比规范更实用）的 Web API，我想保护它。我使用的语言相当新鲜，没有很多高质量的预制安全模块，例如 Rails 的 Devise，因此我必须自己动手。我也觉得这是一个很好的学习机会，何乐而不为呢。

我需要工作的基本场景是：

• 通过网络安全登录
• 使用相同 API 为移动用户登录
• 基于用户身份的 ACL

从未手动实施过上述任何一项，我不太了解最佳实践。不幸的是，我一直找不到任何好的资源来提供有关如何实现这些基本形式的网络安全的教程/指南。

例如，什么是基于 cookie 的身份验证的一个很好的例子，你在用户浏览器上留下的令牌中存储了什么等等。我没有通过谷歌发现任何可靠的东西，令人惊讶的是它必须是其中之一大多数网站最常见的实现。

建议？

谢谢！