Является ли заголовок Spring «авторизация» неправильным, учитывая, что он выполняет аутентификацию, а не авторизацию?

Question

Весной для проверки учетных данных пользователя используется заголовок «авторизация». Обычно имя пользователя и пароль кодируются с использованием какого-либо алгоритма (обычно с базой 64) и передаются в этом заголовке. Но проверка имени пользователя и пароля проходит проверку подлинности, не так ли? Это означает, что этот заголовок «авторизации» не подходит. Он должен был называться заголовком «аутентификация».

Чтение https://howtodoinjava.com/spring-boot2/security-rest-basic-auth-example/

Answer 1

При использовании OAuth заголовок Authorization используется для отправки веб-токена JSON (jwt).

Этот токен является результатом процесса аутентификации и содержит данные пользователя, такие как имя пользователя, отправитель токен и роли типа админ. Он никогда не должен содержать конфиденциальные данные, такие как пароль. Кроме того, токен подписан эмитентом с помощью ключа rsa.

Spring использует этот токен для авторизации. Подпись проверена, поэтому никто не может претендовать на роли, создав поддельный токен. Например, роли могут быть использованы для предоставления / запрета доступа к определенным методам.

В этой статье показан пример приложения, которое может помочь вам понять концепцию: https://www.baeldung.com/rest-api-spring-oauth2-angular