本文介绍了HTTP的Authentication概念，区分了Authentication和Authorization的区别。接着详细讲解了HTTP Basic Authentication的工作原理及其安全性问题，指出Base64编码可被轻易解密。接着讨论了Replay Attack及其危害，并引入了HTTP Digest Authentication作为解决方案，描述了Digest Authentication如何利用随机nonce值防止重播攻击。最后提到了Digest Authentication的安全性虽提升，但仍存在中间人攻击的风险。
什么是Authentication？
首先解释两个长的很像、容易混淆的单词，Authentication（鉴定、认证）和Authorization（授权）。
Authentication就是要证明你是谁。举个例子，你告诉别人你的名字叫Alice，怎么样让别人确信你就是Alice，这就是Authentication。
Authorization则是当别人已经相信是你以后，你是不是被允不允许做做某件事儿。比如，当你已经证明了你就是Alice了，你可以查你自己的信用卡刷卡记录，但不能查Bob的刷卡记录，这就是Authorization（当然，如果Alice是Bob的老婆这种情况除外）。
这篇博客就主要看看HTTP Authentication到底是怎么回事。然后两种常见的Authentication机制：HTTP Basic和Digest。
HTTP Basic
顾名思义，HTTP Basic指的就是最简单的Authentication协议。简单到什么份儿上呢？直接方式告诉服务器你的用户名（username）和密码（password）。这里假设我们的用户名是Alice，密码是123456。
我们使用curl访问服务器
curl -u Alice:123456 http://kiwiserver.com/secret -v
request头部：
GET /secret HTTP/1.1
Authorization: Basic QWxpY2U6MTIz
最低0.47元/天 解锁文章
扫一扫
1500
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
