在HTTP Basic Auth的URL中传递用户名和密码

Question

传递URL中编码的用户名和密码时,例如: https:// Aladdin:OpenSesame@www.example.com/index.html

客户端实际上是通过Authorization标头发送的吗？对于这种URL编码,服务器端需要什么样的处理？

Answer 1

客户端实际上是通过Authorization标头发送的吗？

这取决于客户是什么.如果客户端是浏览器,答案是否定的.这是实验结果:

• 在Chrome中,不会发送授权标头.
• 在Firefox中,不会发送授权标头.Firefox也会提示确认对话框,因为主动发送身份验证信息很奇怪.
• 在Safari中,不会发送授权标头.Safari还将首先显示警告页面,因为它怀疑该URL属于钓鱼网站.
• 在Opera中,不会发送任何授权标头.
• 我在Mac上,无法在IE/Edge上运行实验.但根据其他浏览器的合理行为,我猜IE/Edge的行为是一样的.无论如何,如果有人参加实验并获得结果,我会很感激.

一般来说,出于安全原因,浏览器将忽略在URL中主动发送的身份验证信息.

但是,如果客户端是开发工具,则可以在base64中对身份验证信息进行编码,并将其作为授权标头发送.这是一些实验结果:

• 在curl中,是的,发送授权标头.
• 在Postman中,不会发送授权标头.

是否发送授权标头取决于工具的设计.

对于这种URL编码,服务器端需要什么样的处理？

在服务器端,您需要做的就是从Authorization标头获取base64编码的字符串,对其进行解码,并检查它是否有效.

如果在示例URL中使用HTTP协议会有什么不同吗？

为了安全起见,是的,通过HTTP的授权标头是非常不安全的.Base64编码/解码不会带来任何安全性好处,它可以被所有人解码.

否则,他们是一样的.