האם יש עדיפות לשימוש בטוקן שהתקבל מבקשת login על פני username:password?

[צדיק תמים]

שלום,
בתיעוד הAPI מופיע שישנם 2 דרכים לאמת את בקשות הAPI - בקשת Login ולאחמ"כ שימוש בטוקן שהתקבל בבקשות עצמן, או שליחה של השם משתמש וסיסמה - username:password.
האם יש עניין כלשהו ליצור טוקן ולהשתמש בו על פני שליחת השם משתמש וסיסמה בכל פעם?
בתיעוד כתוב:

כמו כן, כל עוד הטוקן תקף יש להשתמש בו ולהימנע מבקשת התחברות נוספת

אבל השתמשתי באימות עם username:password, ובלוג התחברויות (באתר הישן בלשונית אבטחה) אני רואה התחברות אחת, למרות שנשלחו ברצף בקשות API רבות...
תודה.

[שואל ברצינות]

בתיעוד של ה-API יש לזה איזכור רק לגבי פעולות אבטחה:
https://f2.freeivr.co.il/topic/55/api-גישת-מפתחים-למערכות/42

[Liy]

@צדיק-תמים אמר בהאם יש עדיפות לשימוש בטוקן שהתקבל מבקשת login על פני username:password?:

שלום,
בתיעוד הAPI מופיע שישנם 2 דרכים לאמת את בקשות הAPI - בקשת Login ולאחמ"כ שימוש בטוקן שהתקבל בבקשות עצמן, או שליחה של השם משתמש וסיסמה - username:password.
האם יש עניין כלשהו ליצור טוקן ולהשתמש בו על פני שליחת השם משתמש וסיסמה בכל פעם?
בתיעוד כתוב:

כמו כן, כל עוד הטוקן תקף יש להשתמש בו ולהימנע מבקשת התחברות נוספת

אבל השתמשתי באימות עם username:password, ובלוג התחברויות (באתר הישן בלשונית אבטחה) אני רואה התחברות אחת, למרות שנשלחו ברצף בקשות API רבות...
תודה.

יותר מאובטח זה טוקן שהתקבל בבקשת Login

[צדיק תמים]

@Liy למה? מדובר בצד שרת, למה זה משנה?

[Liy]

@צדיק-תמים אמר בהאם יש עדיפות לשימוש בטוקן שהתקבל מבקשת login על פני username:password?:

@Liy למה? מדובר בצד שרת, למה זה משנה?

הכל בצד שרת?

א״כ זה לא כ״כ משנה...

[MGM IVR]

אם אתה עושה סדרת פעולות , שכל פעם אתה שולח את הנתונים, יהיה יותר בטוח לשלוח טוקן, ולא כל פעם את המספר:סיסמה, כי אם מישהו יאזין לבקשות שלך באחת הפעמים הוא לא יראה כלום מלבד טוקן, ואילו במספר:סיסמה, הוא כן יראה, עוד דבר גם אם הוא יאזין יהיה לו טוקן שתקף לזמן, משאין כן מספר:סיסמה ,שתקף עד שתשנה את זה

[שמואל]

@צדיק-תמים בנוסף לעניין האבטחה שהוזכר יש לשים לב שגם התחברות עם משתמש:סיסמה יוצרת למעשה טוקן מאחורי הקלעים ולכן מבחינת ביצועים במערכת מסודרת כדי ליצור אותו בעצמך ולשלוט על בקשות הLogin שאתה עושה.
למשל, 5 בקשות של כל מתודה בAPI עם משתמש:סיסמה שגויים יובילו לחסימת ממשק.
לעומת 5 בקשות למתודה כל שהיא עם טוקן שכבר לא פעיל - לא יחסמו ממשק.

לכן לדעתי השימוש בטוקן נותן שליטה על פעולות ההתחברות ועל תקינות פרטי הגישה בהתחברות למערכת, אם כי יש מקרים (לבדיקות לרוב) שעדיף להשתמש במשתמש:סיסמה כי זה הרבה יותר נוח.