保护无需登录即可由移动应用程序访问的REST-API

是通过身份验证和授权机制来实现的。以下是一种常见的解决方案：

1. 身份验证（Authentication）：移动应用程序通过在每个请求中添加身份验证凭证来证明其身份。常见的身份验证方式包括基于令牌（Token）的身份验证、基于会话（Session）的身份验证以及基于证书（Certificate）的身份验证。

• 基于令牌的身份验证：移动应用程序在首次登录后，服务器会返回一个唯一的令牌，移动应用程序在每次请求中都需要将该令牌包含在请求头或参数中进行验证。该令牌可以是短暂的，需要定期刷新，也可以是长期的。
• 基于会话的身份验证：移动应用程序在首次登录后，服务器创建一个会话并分配一个唯一的会话ID，移动应用程序在每个请求中都需要将该会话ID包含在请求头或参数中进行验证。该会话可以在一段时间后过期。
• 基于证书的身份验证：移动应用程序通过使用客户端证书来证明其身份，服务器使用公钥验证该证书的合法性。该方式通常用于对安全性要求较高的场景。

1. 授权（Authorization）：除了验证身份外，服务器还需要对请求进行授权，确保移动应用程序只能访问其有权限访问的资源。常见的授权方式包括基于角色（Role）的授权、基于权限（Permission）的授权以及基于访问控制列表（ACL）的授权。

• 基于角色的授权：服务器为每个用户或用户组分配一个或多个角色，每个角色具有不同的权限。移动应用程序在验证身份后，服务器根据其角色决定其是否有权限访问请求的资源。
• 基于权限的授权：服务器为每个用户或用户组分配一个或多个权限，每个权限对应一个具体的操作或资源。移动应用程序在验证身份后，服务器根据其权限决定其是否有权限访问请求的资源。
• 基于访问控制列表的授权：服务器维护一个包含访问控制规则的列表，每个规则指定了哪些用户或用户组对应的资源可以进行哪些操作。移动应用程序在验证身份后，服务器根据访问控制列表判断其是否有权限访问请求的资源。

推荐的腾讯云产品：腾讯云API网关（https://cloud.tencent.com/product/apigateway）可以帮助实现对REST-API的身份验证和授权，支持多种身份验证方式和授权策略，提供灵活的权限管理和访问控制能力。