Передается ли полезная нагрузка с HTTP POST, который содержит базовую аутентификацию c?

Question

У меня есть клиент, который отправляет документ XML на сервер, который требует базовой аутентификации c. Включены ли в один и тот же запрос заголовок полезной нагрузки и аутентификации basi c или аутентификация выполняется перед отправкой полезной нагрузки? Я пытаюсь отправить конфиденциальную информацию на сервер? Возможно ли, что конфиденциальная информация все еще может быть получена сервером, даже если аутентификация не удалась?

Answer 1

Заголовки запроса (который включает в себя заголовок Authorization , используемый basi c аутентификация ) и тело сообщения запроса (где будет скопирован ваш документ XML) концептуально являются частью одного и того же сообщения.

Это сообщение может быть распределено по нескольким пакетам.

В некоторых случаях тело запроса будет отправляться отдельно от тела (например, в сочетании с использование заголовка Expect .

Заголовок авторизации описывает клиент, а не сервер - если вы отправляете незашифрованные данные на сервер, конечно, он может их прочитать.

Обычный ответ - зашифровать весь http-запрос, чтобы он мог быть прочитан только процессом, который может получить доступ к другой половине секретного шифрования. В наиболее распространенном случае мы используем HTTPS, чтобы гарантировать, что запрос может только быть прочитанным машиной, которая может получить доступ к секрету сервера, авторизация клиента все еще происходит через заголовки.

Там являются альтернативами, в которых клиент подтверждает свою идентификацию с помощью указанного c секрета в шифровании сообщения (сервер знает, что клиент является подлинным благодаря тому факту, что правильный соответствующий фрагмент успешно расшифровал сообщение).