【权限管理】Basic 认证（Basic Authentication）

最新推荐文章于 2025-09-05 08:30:00 发布

原创最新推荐文章于 2025-09-05 08:30:00 发布 · 2.1k 阅读

15 ·

CC 4.0 BY-SA版权

文章标签：

#权限

权限管理专栏收录该内容

16 篇文章

订阅专栏

该文章已生成可运行项目，

Basic 认证（Basic Authentication）是一种简单的 HTTP 协议认证方式，它通过将用户名和密码与 HTTP 请求一起发送来验证用户身份。这种方式的特点是简单实现，但安全性较低，因此在使用时通常需要配合 HTTPS 来确保数据的安全性。

1. Basic 认证工作原理

Basic 认证的工作原理非常简单，当客户端发送 HTTP 请求时，如果请求的资源需要认证，服务器会返回一个 401 Unauthorized 状态码，并要求客户端提供认证信息。客户端在下一次请求时，会将用户名和密码编码为一个特定格式，并作为 Authorization 头的一部分发送给服务器。服务器验证该信息，若验证成功，则允许访问资源。

过程概述：

客户端请求：客户端请求一个受保护的资源。
服务器响应 401 状态：服务器返回 401 Unauthorized 状态码，表示客户端需要进行认证。
客户端提供凭证：客户端将用户名和密码用 Base64 编码后，发送一个带有 Authorization 头的请求。
服务器验证凭证：服务器解码凭证并验证用户名和密码，如果验证通过，则允许访问受保护的资源。

2. Basic 认证的请求头格式

Basic 认证的请求头包含一个 Authorization 字段，该字段的值是以 "Basic " 开头，后跟用户名和密码的 Base64 编码。

格式：

Authorization: Basic <Base64编码的用户名和密码>

示例：

假设用户名为 user，密码为 password，则组合后的字符串是 user:password。
使用 Base64 编码该字符串，得到 dXNlcjpwYXNzd29yZA==。

请求头示例：

Authorization: Basic dXNlcjpwYXNzd29yZA==

3. Basic 认证的 HTTP 请求与响应示例

3.1 客户端发起请求

客户端向服务器请求受保护的资源：

GET /protected-resource HTTP/1.1
Host: example.com

3.2 服务器响应 401 状态码

如果资源需要认证，服务器返回一个 401 响应，指示客户端提供认证信息：

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Basic realm="Example"

WWW-Authenticate 头表示服务器要求客户端进行 Basic 认证。

3.3 客户端发送凭证

客户端将用户名和密码编码为 Base64，并在接下来的请求中通过 Authorization 头发送：

GET /protected-resource HTTP/1.1
Host: example.com
Authorization: Basic dXNlcjpwYXNzd29yZA==

3.4 服务器验证并响应

服务器解码凭证，并验证用户名和密码。如果验证通过，则返回请求的资源：

HTTP/1.1 200 OK
Content-Type: application/json
{
  "message": "This is a protected resource"
}

如果用户名或密码错误，服务器返回 401 Unauthorized。

4. Basic 认证的安全性

Basic 认证由于将用户名和密码以明文方式（即使是经过 Base64 编码）传输，因此存在以下几个安全风险：

Base64 只是编码，不是加密：Base64 编码不是加密，仅仅是一个简单的编码方式，任何人都可以解码 Base64 编码的字符串，从而获取用户名和密码。因此，攻击者如果能够嗅探到通信内容，就能够轻易地获取用户凭证。
不安全的传输：如果 Basic 认证通过 HTTP（而不是 HTTPS）传输，攻击者可以通过中间人攻击（MITM）轻松地窃取用户名和密码。
缺乏会话管理：Basic 认证每次请求都需要传递用户名和密码，不能像其他认证方式（例如 Token 或 Cookie）那样保持会话。

5. 如何提高 Basic 认证的安全性

尽管 Basic 认证有一些安全问题，但可以通过以下方式提升其安全性：

使用 HTTPS：强烈建议在使用 Basic 认证时启用 HTTPS（即使用 SSL/TLS 加密通信），以保护认证信息在网络传输中的安全性。这样即使攻击者能够截取数据包，也无法解密通信内容。
避免长期保存凭证：不要将用户名和密码明文存储在浏览器或其他客户端中。可以通过会话、令牌等方式降低重复使用用户名和密码的风险。
限制认证尝试次数：为了防止暴力破解，建议实现限制每个账户认证失败的次数，并在超过尝试次数后锁定账户或增加延迟。
结合其他认证方式：将 Basic 认证与其他认证方式（如 OAuth、JWT、两步验证等）结合，增强安全性。

6. Basic 认证在 Java 中的使用

在 Java Web 应用中，可以使用内置的 Servlet 容器（如 Tomcat）或框架（如 Spring Security）来实现 Basic 认证。

6.1 使用 Tomcat 配置 Basic 认证

在 web.xml 文件中配置 Basic 认证：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected</web-resource-name>
        <url-pattern>/protected/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>user</role-name>
    </auth-constraint>
</security-constraint>

<login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>Example</realm-name>
</login-config>

<security-role>
    <role-name>user</role-name>
</security-role>

6.2 使用 Spring Security 配置 Basic 认证

Spring Security 提供了非常便捷的方式来启用 Basic 认证。在 Spring Boot 中，你可以通过如下配置启用 Basic 认证：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/protected/**").authenticated()  // 需要认证的路径
                .and()
            .httpBasic();  // 启用 Basic 认证
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password("{noop}password").roles("USER");
    }
}

在这个例子中，/protected/** 路径要求用户进行 Basic 认证，用户名和密码在内存中定义。