Api Token Authentication - через параметры или заголовки? - PullRequest
0 голосов
/ 29 января 2019

Я написал немного API.Требуется токен API.Я получаю доступ к этому API только через бэкэнд.Должен ли я получить токен API только через заголовки, или можно получить его из параметров строки запроса?Существуют ли различия в плане безопасности?

Редактировать: забыл упомянуть, конечно, я использую SSL

Ответы [ 2 ]

0 голосов
/ 05 мая 2019

Вам может потребоваться переподготовка о различиях между файлами cookie и токенами, чтобы помочь вам найти ваш ответ.

Цель файлов cookie состоит в том, чтобы привести состояние к тому, что по своей сути является протоколом без сохранения состояния, который является http, httpПротокол не имеет понятия состояния, и его можно использовать только для представления этих файлов cookie или крошечных кусочков данных по запросам, которые идентифицируют нас на сервере.

Файлы cookie включены по умолчанию во все запросы http, они проявляются каксвойство в заголовке любого запроса .Сервер может выбрать размещение информации в файле cookie пользователей, который уникально идентифицирует их для этого конкретного сервера.

Так что, если они заходили на веб-сайт, который я делал, я мог бы вставить некоторую информацию в этот файл cookie, который говорит, что это user13794и при любом последующем запросе у них будет файл cookie 13794, в котором говорится, что это тот же пользователь, который возвращается, другой запрос от того же человека.

Файлы cookie автоматически включаются во все запросы и, что очень важно, уникальны длякаждый домен, например, Google.com или eBay.com.Ваш файл cookie, связанный с google.com, не является и не может использоваться по умолчанию совместно с ebay.com, поэтому мы получаем некоторый уровень безопасности для всех наших запросов.Поэтому, если я вошел на google.com, а затем зашел на hacker.com, веб-сайт hacker.com не смог отозвать мой файл cookie из Google и захватить мою сессию.

ТАК, что файлы cookie не могут быть отправлены на другие домены, чтоэто что-то, что существует в целях безопасности, поэтому вы не можете легко захватывать сеансы людей.

В отличие от файлов cookie, идеи токенов, это было введено в качестве соглашения, использовать токены вместо файлов cookie, где файлы cookie перестают быть полезными.

Для нас ничего не делается автоматически с токенами, мы должны вручную включить заголовок с нашим токеном, который может быть строкой букв и цифр, и мы можем включить его в определенный заголовок, чтобы мы имеливручную подключать наши токены.

Преимущества токенов в том, что мы можем отправлять их на любой домен, который нам нужен, поэтому, если я нахожусь на google.com и хочу сделатьзапрос с проверкой подлинности в совершенно другой домен, я могу сделать это с помощью токена.

Я бы сделал запрос наэтот другой домен, включая мой конкретный токен и бум!Я авторизован в этом другом домене.

Так что, как и в случае с cookie, мой многословный способ заключается в том, что токены вручную подключаются только через заголовки, а не параметры запроса.

0 голосов
/ 29 января 2019

Все Авторизация в Заголовках, только заголовки более безопасны. В параметре запроса они выставлены для общего доступа

, например.если вы отправите в виде запроса, он будет открыт для всех

Не делайте этого когда-либо

curl -X GET http://localhost:5051/v1/user/verifytoken?token=bearer-xdrRxfdfdfdf
...