HTTP基本认证

最新推荐文章于 2024-11-04 20:13:29 发布

oyw5201314ck

最新推荐文章于 2024-11-04 20:13:29 发布

阅读量814

点赞数

分类专栏： HTTP

本文链接：https://blog.youkuaiyun.com/oyw5201314ck/article/details/79611206

版权

HTTP 专栏收录该内容

2 篇文章

订阅专栏

本文介绍了在C/S架构项目中使用HTTP基本认证的过程。原始设计依赖于COOKIE维持登录状态，但最终选择了将用户名和密码Base64编码后放入HTTP请求头的Authorization字段。虽然这种方式存在安全性问题，但通过curl命令演示了如何进行HTTP基本认证，包括正确和错误的认证响应。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在最近的项目中，需要实现一个客户端，通过HTTP协议访问Web服务器，即C/S架构。

使用客户端的功能前需要先进行登录认证，原本的设计是：客户端登录成功后，维护一个COOKIE用于保持当前的登录状态。

但是最终的做法是，采用了”HTTP基本认证“，就是将用户的用户名和密码放在HTTP请求头部的Authorization字段中，当然不是放的明文，而是经过Base64编码过的，但是也毫无安全可言，因为Base64只是一种基于字符表的编码方式而已不是加密算法。

下面我们用curl来演示使用HTTP基本认证的方法：

curl通过-u这个参数来输入HTTP Basic Auth用到的用户名和密码

我们可以看到请求头部的“Authorization: Basic dGVzdDp0ZXN0MTIz“，我们使用Base64解码这个"dGVzdDp0ZXN0MTIz"就可以看到这就是"test:test123"；由于输入的密码不对，我们看到响应头部的"WWW-Authenticate: Basic realm="Authentication Required""，如果用户名和密码正确那么就不会出现这个字段呢！

# curl  -v -u test:test123 http://127.0.0.1/api/v1.0/token
* Hostname was NOT found in DNS cache
*   Trying 127.0.0.1...
* Connected to 127.0.0.1 (127.0.0.1) port 80 (#0)
* Server auth using Basic with user 'test'
> GET /api/v1.0/token HTTP/1.1
> Authorization: Basic dGVzdDp0ZXN0MTIz
> User-Agent: curl/7.35.0
> Host: 127.0.0.1
> Accept: */*
> 
< HTTP/1.1 401 UNAUTHORIZED
< Date: Mon, 19 Mar 2018 06:44:34 GMT
* Server Apache/2.4.7 (Ubuntu) is not blacklisted
< Server: Apache/2.4.7 (Ubuntu)
< Content-Type: application/json
< Content-Length: 85
* Authentication problem. Ignoring this.
< WWW-Authenticate: Basic realm="Authentication Required"
< 
{
  "data": "Invalid credentials",

从上面可以看到，如果我们每次访问API都使用这种传输用户名:密码的方式，那么是非常不安全的；所以好的设计是，最开始使用这种方式访问API获取一个Token(经过特殊加密过程的字符串)，然后再接下来的访问中传输Token:就可以了。