20、身份验证方法全解析

身份验证方法全解析

1. 仅标识符认证

仅标识符认证实际上是“无因素认证”，因为不使用任何认证因素。请求者声明一个标识符，依赖方无需进一步证明就接受它。这种认证方式很普遍，最常见的系统就是浏览器 cookie。

大多数人不认为 cookie 是一种认证系统，但它用于声明特定会话。《黑客词典》将 cookie 定义为协作程序之间的句柄、交易 ID 或其他协议令牌。干洗店给你的取衣凭证就是一个很好的 cookie 例子，它的唯一作用是确保你能取回衣服，通过关联不同时间发生的两笔交易来实现。

在互联网上，当请求者的浏览器向服务器发出请求时，服务器会生成并返回一个 HTTP cookie，使服务器能够关联该浏览器的所有请求。请求者的浏览器会存储该 cookie 以供将来使用。这些 cookie 的作用与干洗店的取衣凭证相同：将原本难以关联的交易联系起来。

以 Alice 为例，她使用浏览器访问一个她从未去过的网站 foo.com。foo.com 的管理员已将其服务器配置为在每个 HTTP 响应中返回一个 cookie。当 Alice 访问该网站时，服务器会将一个 cookie 传递给她的浏览器。Alice 的浏览器会将该 cookie 存储在她计算机上的一个特殊文件中。下次她从 foo.com 请求页面时（可能在同一会话中，也可能在数天甚至数周后），她的浏览器会将上一次访问时收到的 cookie 发送回去。这使得 foo.com 能够关联 Alice 的访问记录，并创建一个跨越单个 HTTP 事务的会话。

这个过程如下：
1. 服务器要求 Alice 的浏览器将某些信息存储为 cookie，并知道浏览器下次发出请求时会原封不动地将其发送回