HTTP认证授权分类

今天药忘吃喽~ 2022-11-25 05:29 303阅读 0赞

# HTTP认证 #

什么是HTTP认证？说白了就是客户端访问服务端不是随随便便就能访问的，为了安全着想需要制定一些认证规则，不同规则安全级别、复杂度上是不一样的。比如常见的认证方式有`Basic`、`Digest`、`API Key`、`Bearer Token`、`OAuth 1.0`、`OAuth 2.0`等等，熟悉postman的人，应该清楚postman有一栏专门设置各种授权（Authorization）类型的，这里面包含了各式各样的授权，如图所示展示了postman支持的授权类型，画框的是摘要认证：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70]

> 以下示例基于Spring Security安全框架之下。

# 请求头（Authorization） #

为什么要单独说请求头`Authorization`？因为所有HTTP认证时需要添加这个请求头，这是HTTP协议规定的，其值也是有规则的，比如：

1.  Basic认证（基本认证）
    
        Authorization: Basic eW91bmdsZWRvOjEyMw==
    
    注意以`Basic`开头，与后面`空格`区分开来。
2.  Digest认证（摘要认证）
    
        Authorization: Digest username="youngledo", realm="realm", nonce="MTU5Njc5NTU2MjUwNTplMjJiZmEwNzBjNmE2YTI3MjkwYTMyYzY5ZDUwZWRmZA==", uri="/hello", response="86e6040a3e1bfdfb8977b1138995a064", qop=auth, nc=00000002, cnonce="a8e2785c585c2c4e"
    
    以`Digest`开头，同样后面也是按照一定的规则排列的。

## 一、Basic认证 ##

*  认证  
    HttpBasic很简单，只需要传入用户名和密码（用户名和密码经过Base64编码），然后放在请求头`Authorization`中就可以传送了，认证之后如图所示：  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 1]  
    最关键的地方就是请求头里多了`Authorization: Basic eW91bmdsZWRvOjEyMw==`，其中`Basic`代表的就是Basic认证，空格后面就是被Base64编码之后的字符串，解码之后的字符串是`youngledo:123`，因此这种认证方式非常的不安全只适用于开发、测试阶段。
 *  未认证  
    如果没有输入密码又会是什么情况呢，如下图：  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 2]  
    服务端会返回`401`表示未认证（401是HTTP协议中定义的状态码，因此我们在写Web接口时也应该遵循这样的协议），同时响应头会返回`WWW-Authenticate: Basic realm="Realm"`，表示需要做Basic认证方可访问。

## 二、Digest认证 ##

也称之为摘要认证，它是在Basic认证的基础之上做了改进（不会在网络上发送明文密码），但复杂度也提高了。

*  未认证  
    先看下未认证的情况，对比下Basic有何区别？  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 3]  
    统一状态码还是401，响应头`WWW-Authenticate`的值变了，解释下：
    
     *  Digest  
        表示是摘要认证，从这个就可以知道是什么认证方式了。
     *  qop  
        表示保护级别，其值`auth`表示只进行身份验证，如果是`auth-int`表示还要校验内容。
     *  nonce  
        是服务端生成的随机字符串，这是一个经过Base64编码的字符串，经过解码我们发现，它是由过期时间和密钥组成的。在以后的请求中 nonce 会原封不动的再发回给服务端。
 *  认证  
    输入正确的用户名和密码之后，如下图:  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 4]  
    可以看到同样请求头`Authorization`的值却是复杂的摘要信息，其安全性大大提高，但正因为其复杂性使用不是很广泛。

## 三、OAuth认证 ##

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70]: /images/20221124/cae0ff7fb51746d3952f66dff104a570.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 1]: /images/20221124/2a4b88c44a8a4a629c094c923482f3a3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 2]: /images/20221124/8bc40509969345d8aa97ea26159fc456.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 3]: /images/20221124/88d22e7bc1f6443bb93c0639d052ab03.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70 4]: /images/20221124/49f45a5be2644563a14144cbeadd2e58.png