凭据的授权请求标头与 POST 请求正文

Question

将用户凭据从前端发送到后端服务器的正确方法是什么？我看到一些开发人员使用授权标头和一些在 POST 正文中传递凭据的示例。

Answer 1

凭据通常会在尝试登录时进入请求正文一次。您应该收到一个令牌作为回报，尽管您是通过 HTTP 标头、请求正文还是作为 GET 参数发送此令牌取决于您（或您正在实施的协议） ）。

使用标头通常是一个很好的做法，因为 GET 请求不应包含请求正文，并且将令牌作为 GET 参数传递可能并不总是一种选择（例如，由于令牌出现在各种日志中）。

无论哪种方式，我都会建议您避免尝试实现自己的协议，而是使用现有标准。

Answer 2

网站将密码传输到服务器的唯一安全方法是使用 HTTPS/SSL。如果连接本身未加密，ManInTheMiddle 可以修改或删除发送到客户端的任何 JavaScript。所以你不能依赖客户端哈希。

此外，始终使用标头发送敏感数据，例如 USER-ID、API-KEY、AUTH-TOKENS 您可以参考此堆栈问题链接以获取更多信息和此链接