HTTP认证之基本认证

HTTP 基本认证（Basic Authentication）是在RFC7617 - IETF中定义的一种认证方式，它使用以Base64编码的用户ID/密码对作为用户的身份凭证。由于HTTP Basic认证是以明文的形式传输用户ID以及密码（Base64是一种可逆的编码方式），在未搭配HTTPS的情况下使用是不安全的。

HTTP Basic认证主要通过HTTP的WWW-Authenticate响应头部以及Authorization请求头部进行实现，其流程大致为：

• 客户端在未提供用户身份凭证的情况下请求受限资源；
• 服务端接受请求，返回带有WWW-Authenticate响应头部的401 Unauthorized响应；
• 客户端获得用户ID以及密码，编码后发出带有Authorization请求头部的请求；
• 服务端根据请求提供的身份凭证返回请求的资源或是返回错误。

WWW-Authenticate响应头部

WWW-Authenticate响应头部用于告知客户端使用何种验证方式，它通常与401响应（Unauthorized）一起返回。WWW-Authenticate的格式如下：

WWW-Authenticate: <type> [realm=<realm>] [charset=<charset>]

WWW-Authenticate可设置的指令为：

• type：验证的类型，常见的值有Basic、Bearer、OAuth等，更多的值可参考HTTP Authentication Schemes - IANA。在本文中将使用Basic值。
• realm：保护区的描述，在未指定的情况下客户端默认显示为格式化的主机名。当使用Basic认证时，realm为必须的指令。
• charset：告知客户端用户名和密码首选的编码方式，唯一允许的值为不区分大小写的UTF-8。

以下为使用Basic认证时服务器返回的响应头示例：

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Basic realm="Protect Space" charset="UTF-8"

Authorization请求头部

Authorization用于设置含有服务器验证用户所需的身份凭证，它通常在服务器返回带有WWW-Authenticate响应头部的401 Unauthorized响应之后的请求中发送。

Authorization: <type> <credentials>

Authorization可设置的指令为：

• type：即上文中提到的验证类型，Authorization头部中设置的值将与WWW-Authenticate返回的类型保持一致，在本文中即为Basic。
• credentials：用户的身份凭证。

其中，使用Basic认证时，身份凭证为一个使用:连接的用户名及密码，并使用Base64进行编码。

下面是以JavaScript实现的请求示例：

const username = 'user';
const password = 'pass';
const credentials = btoa(username + ':' + password);
console.log(credentials);
// dXNlcjpwYXNz

fetch(url, {
   
  headers: {
   
    Authorization: `Basic ${
     credentials}`
  }
});

发出的请求头部示例如：

GET / HTTP/1.1
Authorization: Basic dXNlcjpwYXNz

一个简单的验证交互示例