看完第5节后的几个疑问，请老师抽空解惑

Question

老师你好，请教几个问题。

1、用户登录接口请求参数中的密码明文传输，如果这个请求被别人截取到了，不就相当于知道这个用户的密码了么？生产应用一般怎么处理？

2、请问http://git.oschina.net/imooccode/happymmallwiki/wikis/

这个接口文档是用什么工具做的？接口文档和接口开发的先后关系是怎样的？根据接口文档完成开发？还是接口开发完成后用某个工具生成接口文档？

3、接口的权限控制除了在接口中进行硬编码外，还有其他方法么？比如spring security,shiro等框架的使用是否合适这种接口的权限控制呢？

4、这些接口我们是否可以理解为是restful接口？而session的使用说明接口是有状态的，后续如果分布式部署应用还要增加一个session的集中管理中心，感觉增加了部署和维护的复杂度，是否可以不用session呢？

Answer 1

Geely 2017-05-16 00:22:38

hi 同学你好

1、用户登录接口请求参数中的密码明文传输如果这个请求被别人截取到了不就相当于知道这个用户的密码了么生产应用一般怎么处理

----https

2、请问http://git.oschina.net/imooccode/happymmallwiki/wikis/

这个接口文档是用什么工具做的接口文档和接口开发的先后关系是怎样的根据接口文档完成开发还是接口开发完成后用某个工具生成接口文档

----企业要前后端并行开发先定义接口然后按照接口前端后端一起开发

3、接口的权限控制除了在接口中进行硬编码外还有其他方法么比如spring security,shiro等框架的使用是否合适这种接口的权限控制呢

---很适合哟 shiro非常好用。

4、这些接口我们是否可以理解为是restful接口而session的使用说明接口是有状态的后续如果分布式部署应用还要增加一个session的集中管理中心感觉增加了部署和维护的复杂度是否可以不用session呢

---可以改造成restful接口。是的后续分布式要增加session服务器。请看一下第一章架构演进session做成服务器之后就可以共享啦。但是这种服务器也是一个伪session服务器不是真实内存中的session对象。会用redis来做。

• 提问者 zjg23 #1

  谢谢回答，追问一下：-）
  1、https
  --关于https   url和http的head部分在https下还是明文的，只有body部分会加密发送，我的理解是否正确？
  
  2、企业要前后端并行开发先定义接口然后按照接口前端后端一起开发 
  ---接口定义有没有好的工具推荐？
  
  3、很适合哟 shiro非常好用。
  --使用shiro的话，对某一类url进行权限控制很方便，如/manager开头的要有管理员权限。
  --但如果像用户删除订单这种情况，即判断订单是否属于该用户这种权限控制用shiro怎么做？

Answer 2

Geely 2017-05-26 00:00:38

同学你好哈，后续是会有的

Answer 3

湘伦的雪 2017-05-24 20:10:53

后续会出基于分布式框架的服务端吗