AdguardTeam/DnsLibs项目中基础认证的百分号编码问题解析

AdguardTeam/DnsLibs项目中基础认证的百分号编码问题解析

问题背景

在AdguardTeam/DnsLibs项目中，开发人员发现了一个与HTTP基础认证(Basic Authentication)相关的问题。当用户密码中包含某些特殊字符时，如果这些字符被百分号编码(percent-encoded)，基础认证功能会出现异常，导致认证失败。

问题现象

具体表现为：当用户尝试使用包含百分号编码字符的密码进行基础认证时，例如密码中包含"~"字符（编码为%7E），系统无法正确识别和验证这些密码。示例URL如下：

https://ios-test-device-1:1/ySf%7EO3a@d.adguard-dns.com/dns-query

在这个URL中，密码部分"ySf~O3a"中的"~"字符被编码为"%7E"，导致认证失败。

技术原理

HTTP基础认证是HTTP协议中最简单的认证方式之一，它将用户名和密码用冒号连接后，进行Base64编码，然后放在Authorization头中发送给服务器。

当URL中包含认证信息时，格式通常为：

https://username:password@example.com/path

在URL中，某些特殊字符需要进行百分号编码，以避免解析歧义或安全问题。例如：

• 空格编码为%20
• "~"编码为%7E
• "@"编码为%40

问题根源

经过分析，问题出在DnsLibs库处理URL中的认证信息时，没有正确地对百分号编码的密码字符进行解码。具体来说：

1. 当URL中包含百分号编码的密码字符时，库没有在提取密码前进行解码
2. 导致Base64编码的用户名:密码组合不正确
3. 服务器端收到的认证信息与预期不符，认证失败

解决方案

修复此问题需要在对密码进行Base64编码前，先对百分号编码的字符进行解码处理。具体步骤应包括：

1. 从URL中提取用户名和密码部分
2. 对密码部分进行百分号解码
3. 将解码后的用户名和密码用冒号连接
4. 对连接后的字符串进行Base64编码
5. 将编码结果放入Authorization头

影响范围

此问题会影响所有使用DnsLibs库且满足以下条件的应用：

1. 使用HTTP基础认证
2. 密码中包含需要百分号编码的特殊字符
3. 通过URL直接提供认证信息

最佳实践建议

为避免类似问题，建议开发人员：

1. 在处理URL中的认证信息时，始终先进行百分号解码
2. 考虑使用专门的URL解析库，而不是手动处理URL各部分
3. 对用户输入的密码进行严格测试，特别是包含特殊字符的情况
4. 在文档中明确说明密码中允许和不允许的字符

总结

URL编码与解码是Web开发中的常见操作，但在认证流程中需要特别注意处理顺序。AdguardTeam/DnsLibs项目中的这个案例提醒我们，即使是成熟的基础功能，也可能因为编码问题而出现异常。正确的字符编码处理对于确保系统安全性和可用性至关重要。