HTTP"授权"标头的多种身份验证方案

Question

对于我们的api用户,我们需要两种身份验证:

• 验证api-user(移动设备,合作伙伴集成)
• 验证特定的"普通"用户,该用户拥有我们这方面的数据

标准挑战与响应是通过WWW-Authenticate和AuthorizationHeaders 处理的.我想重用这个.

我有以下用例:在第一级我们验证api用户(例如移动设备),对于一些api-actions我们还需要验证用户(例如移动设备的用户).因此,我们有一个特殊情况,我们需要"同时"两个身份验证方案.

查看http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html我看不到在"授权"标题中有两个不同的方案是可能的.

// I just made up delimiter ';'
Authorization: Digest .... ; CustomXXX ...

我是否正确,如果有的话还有其他选择吗？

Answer 1

不,授权只能使用一组凭据.