Contesto

A causa dell'apolidia dello stile architettonico REST che implica che ogni richiesta è completamente indipendente, il server non memorizza mai alcuna informazione sul client.

Pertanto, il controllo pessimistico della concorrenza non è adatto perché richiederebbe a quel server store quale client ottiene il blocco su una risorsa. Vengono quindi utilizzati controlli di concorrenza ottimistici, con l'aiuto Etagdell'intestazione. (a proposito, come ho chiesto lì /programming/30080634/concurrency-in-a-rest-api )

Problema

Il problema principale con un meccanismo di controllo della concorrenza ottimista è che si consente a tutti i tempi, tutti i client, di eseguire qualsiasi operazione.

E vorrei evitarlo senza infrangere il principio di apolidia di REST. Voglio dire che tutti i clienti non possono eseguire alcuna operazione in qualsiasi momento.

Domanda

Nella mia mente, sarebbe possibile con un semi-ottimista meccanismo di controllo della concorrenza, come quella:

• I clienti possono richiedere un token
• È possibile generare un solo token e ha un periodo di validità limitato
• Per eseguire operazioni sulle risorse (come POST o PUT ), il client deve fornire questo token come parte del corpo (o intestazione?) Della richiesta. Il client che non ha il token non può eseguire queste operazioni.

È molto simile al controllo di concorrenza ottimista, tranne per il fatto che solo un client può eseguire alcune operazioni (quello che ha ottenuto il token) ... al contrario di "tutti i client possono eseguire tutte le operazioni".

Questo meccanismo è compatibile con uno stile architettonico REST? Si rompe qualcuno dei suoi vincoli? Stavo pensando di fare una domanda su SO, ma questa sembra più una domanda di alto livello, relativa alla progettazione del software.

Non dovresti mai (come mai e poi mai mai) bloccare alcuna risorsa mentre aspetti un'interazione dell'utente.

Ad un certo punto alcuni dei tuoi utenti decolleranno per un lungo weekend lasciando bloccati alcuni record vitali.

Ah, ma non lascerai che ciò accada perché hai qualche intelligente schema di risoluzione timeout / deadlock; poi ad un certo punto questo andrà terribilmente storto e un utente che ha ricevuto un bel messaggio "il tuo widget è stato ordinato" urlerà all'help desk chiedendo di sapere perché il suo widget non è stato consegnato.

Molte persone possono gestire il messaggio "mi spiace che un altro utente abbia appena ordinato questa parte".

L'uso dei token è molto comune nelle API, questi token vengono generalmente inviati come intestazione e hanno un ciclo di vita chiaro. Pensa ad esempio a OAuth.

Indipendentemente dal linguaggio o dalla struttura di programmazione, le API REST sono simili.

Posso pensare a diversi scenari in cui si desidera limitare la concorrenza, due di questi sono:

1. Più client aggiornano le stesse risorse come una riga del database. Ad esempio: due richieste simultanee, una elimina un record e l'altra tenta di aggiornare lo stesso record. A seconda del database e di come è stato impostato, è possibile ottenere un blocco sui record o un'operazione non valida poiché i dati saranno diversi o non esisteranno.

2. Un superutente o amministratore che esegue azioni speciali con l'API.

Cosa fare in questi casi?

1. Utilizzare transazioni nel database, singleton, blocchi e meccanismi simili per sincronizzare l'accesso alle risorse.

2. Il token potrebbe funzionare, penso che sarebbe meglio se non memorizzi informazioni sul client, solo sul token stesso. In un solo passaggio è possibile convalidare l'utente e assegnare il token. Quindi convalidare che il token è attivo ed è valido. Utilizzare un token che può essere decrittografato per ottenere informazioni aggiuntive. È possibile memorizzare se si tratta di un token speciale e consentire solo alla volta. In questo modo si convalida il token, non l'utente.

Spero che questo possa essere d'aiuto.

REST da solo è troppo primitivo, davvero. Puoi iniziare con REST, ma alla fine la tua ricca applicazione avrà bisogno di query con join e aggiornamenti con transazioni. Ogni sviluppatore che tenta di aggiungere queste cose da solo sarebbe soggetto a errori e incoerente. Fortunatamente, esiste uno standard emergente chiamato OData che fa proprio questo. Si sovrappone a REST e fornisce (1) linguaggio di query che consente di unire semplici utilizzando le proprietà di navigazione (senza dover esporre chiavi esterne) e, (2) elaborazione batch che include set di modifiche atomiche.

Vedere qui per (1) https://stackoverflow.com/a/3921423/471129 e,

Vedi qui e per (2) https://stackoverflow.com/a/21939972/471129