С точки зрения безопасности как на основе форм , так и Базовая аутентификация HTTP-доступа используют простой текст для отправки аутентификационных данных. (Конечно, HTTP Basic Auth дополнительно использует Base64, но это не проблема.)
В то время как HTTP Basic Auth отправляет данные проверки подлинности при каждом запросе, проверка подлинности на основе формы отправляет данные проверки подлинности только при отправке формы (помните: оба в виде простого текста). Обычно сеансы используются для поддержания состояния при использовании проверки подлинности на основе форм.
Так что, если вы хотите использовать один из них, обязательно зашифруйте ваше соединение, используя HTTPS, чтобы предотвратить перехват и атаку «человек посередине» . И когда вы выбираете форму и вариант на основе сеанса, обязательно обеспечьте безопасность обработки сеанса, чтобы предотвратить или, по крайней мере, обнаружить мошенничество сеанса, например Перехват сеанса и Фиксация сеанса .
Последний вариант: Аутентификация доступа к дайджесту HTTP . Основное различие между этим и Basic состоит в том, что Digest представляет собой аутентификацию по запросу-вызову , тогда как клиент должен выполнять вызов по каждому запросу, а ответ - это просто хеш MD5. Таким образом, данные аутентификации в виде простого текста не отправляются.