HTTP：基本认证机制

待我称王封你为后i 2022-08-29 11:59 227阅读 0赞

# 认证 #

认证就是要给出一些身份证明。

## HTTP的质询/响应认证框架 ##

HTTP提供了一个原生的**质询/响应**框架，简化了对用户的认证过程：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70]  
Web应用程序收到一条HTTP请求报文时，服务器没有按照请求执行动作，而是以一个“认证质询”进行响应，要求用户提供一些保密信息来说明他是谁，从而对其进行质询

用户再次发起请求时，要附上保密证书(用户名+密码)。如果证书不匹配，服务器可以再次质询客户端和产生一条错误信息。如果匹配，就可以正常完成请求了

## 认证协议和首部 ##

HTTP通过一组可定制的控制首部，为不同的认证协议提供了一个可扩展框架。下表列出的首部格式和内容会随着认证协议的不同而发生变化。认证协议也是在HTTP认证首部中指定的。

HTTP定义了两个官方的认证协议：基本协议和摘要协议。当然用户可以自己扩充一些实用HTTP质询/响应框架的新协议  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 1]  
看个例子：

*  服务器对用户进行质询时，会返回一条401 Unauthorized响应，并在www-Authenticate首部说明如何以及在哪里进行认证
 *  当客户端授权服务器继续处理时，会重新发送请求，但会在Authorization首部附上加密的密码和其他一些认证参数
 *  授权请求成功完成时，服务器会返回一个正常的状态码(比如200 ok)。对一些高级认证算法来说，可能会在Authentication-Info首部附加一些额外的信息  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 2]

## 安全域 ##

在学习基本认证之前，需要解释一下HTTP是怎样允许服务器为不同的资源使用不同的访问权限的。在上图中1，www-Authenticate质询中包含了一个realm指令。Web服务器会将受保护的文档组织成一个**安全域**(security realm)。每个安全域都可以有不同的授权用户集。

比如，假设Web服务器建立了两个安全域：一个用户的财务信息，另一个用户个人安全文档。不同的用户对各个安全域的访问权限是不同的：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 3]

下面是一个假想的基本认证质询，它指定了一个域：  
![在这里插入图片描述][c1446f4c7db94b248db38a0d36e18420.png]  
域应该有一个描述性的字符名，比如`Corporate Finacials`，以帮助用户了解应该使用哪个用户名和密码

# 基本认证 #

基本认证是最流行的HTTP认证协议。几乎每个主要的客户端和服务器都实现了基本认证机制。

在基本认证中，Web服务器可以拒绝一个事务，质询客户端，请用户提供有效的用户名和密码。服务器会返回4.0状态码，而不是200状态码来初始化认证质询，并用WWW-Authenticate响应首部指定要访问的安全域。浏览器收到质询时，会打开一个对话框，请求用户输入这个域的用户名和密码。然后将用户名和密码加密，并用Authorization请求首部回送给服务器

## 实例 ##

*  用户请求私人假体相片：/family/jeff,jpg
 *  服务器会送一条401 Authorization Required，对私人家庭相片进行密码质询，同时会送的还有WWW-Authenticate首部。这个首部请求对Family域进行基本认证
 *  浏览器收到了401质询，弹出对话框，询问Family域的用户名和密码。用户输入用户名和密码时，浏览器会用一个`:`将其连接起来，编码成“经过扰码”的base-64表示形式，然后将其放在Authorization首部中回送
 *  服务器对用户名和密码进行解码，验证它们的正确性，然后用一条HTTP 200 OK报文返回所请求的报文。  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 4]  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 5]

## Base-64用户名/密码编码 ##

HTTP基本认证将(由`:`分隔的)用户名和密码打包在一起，并用Base-64编码方式进行验证。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 6]  
base-64编码可以接受二进制字符串、文本、国际字符表示的数据，将其暂时转换成功一个易移植的字母表进行以便传输。然后，在远端就可以解码出原始字符串，而无需担心传输错误了。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70]: /images/20220829/326c04c0a57c45d5a043188541b205d9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 1]: /images/20220829/8bfc888ce67943f1b9ac774054d7e673.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 2]: /images/20220829/ffd6ddc84b364e539ff29f3cff490db4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 3]: /images/20220829/6e2a67ca85444e75b5da426cca70b291.png
[c1446f4c7db94b248db38a0d36e18420.png]: /images/20220829/90caba29470d417bab131a2ae2e1876c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 4]: /images/20220829/dc7f54c0a88d449db5c82d3c4ddc84f3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 5]: /images/20220829/3bae74ad91ef43e9a07908f304a6bd59.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 6]: /images/20220829/27495ed773f249279ca71232e4c70867.png