31、HTTP 标准特性：认证、压缩、条件请求与缓存

HTTP 标准特性：认证、压缩、条件请求与缓存

1. HTTP 摘要认证

HTTP 摘要认证的加密过程比 HTTP 基本认证复杂得多，但整体流程相同，都遵循请求、挑战、响应的模式。不过，摘要认证有两个关键区别：
- 密码安全性 ：服务器无法从摘要中推断出用户的密码。当客户端为某个领域（realm）设置密码时，服务器会计算 user:realm:password 的哈希值（如上述示例中的 ha1）并保存，这样服务器就能在不存储用户实际密码的情况下计算最终的 ha3 值。
- 请求方式 ：客户端的每次请求实际上是两个请求。第一个请求的目的是获取挑战，它不包含任何认证信息，通常会以 401（“未授权”）状态码失败。但响应头 WWW-Authenticate 会包含一个唯一的随机数（nonce），客户端可以用它来构造合适的 Authorization 头。然后客户端发起第二个请求，使用这个头，这个请求通常会成功。而在基本认证中，客户端可以在第一次请求时就发送授权凭证来避免挑战，摘要认证则无法这样做。

摘要认证还有一些选项，例如指定 qop=auth-int 而不是 qop-auth 意味着计算 ha2 时必须包含请求的实体主体，而不仅仅是 HTTP 方法和 URI 路径，这可以防止中间人篡改 PUT 和 POST 请求的表示。

WWW-Authenticate 头和 Authorization