2020-10-02|閱讀時間 ‧ 約 4 分鐘

HTTP Basic Authentication

一般在做使用者登入認證，會用cookie/session的方式來達到驗證的目的，可參考這篇: 從PHP了解cookie/session原理。

而HTTP基本認證是另一種很簡單的驗證方式，所有瀏覽器都支援，也是桌面應用程式常用的認證方式。

HTTP基本認證，其實就是在request header中加入 Authorization 這個 key，value由 Basic 空格帳號:密碼組成，其中帳號:密碼是使用base64加密後的。由server端解密後比對帳密是否正確。

以下以PHP為例來模擬: 程式碼如下:

Instantly share code, notes, and snippets. You can't perform that action at this time. You signed in with another tab or window. You signed out in another tab or window. Reload to refresh your session. Reload to refresh your session.

只要按下登入，不論帳密正確與否，瀏覽器會重新訪問此頁面，假如驗證帳密錯誤，會重新跳出此輸入帳密視窗，假如驗證帳密正確，則跑進else區塊。(仔細研究程式碼即可了解)

1. 故意輸入錯誤的帳密:

按下登入後，重新跳出此視窗要求輸入:

2. 假如輸入帳密正確，按下登入，瀏覽器就會再發送一次request，這時候因為認證成功，就會進入到else區塊(L21):

上圖紅框中的dXNlcjE6MTIzNDU2就是user1:123456這串字串使用base64 加密後的結果。

值得注意的是，一旦認證成功後，重新整理頁面，就不用再輸入一次帳密了，因為往後的request header都會自動帶上 Authorization: Basic dXNlcjE6MTIzNDU2了，所以$_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW'] 可以拿到帳密! 但若把瀏覽器關掉重新連線的話，就要重新輸入了。

3. 若按下取消，程式碼會繼續往下執行，因此瀏覽器會echo出「請輸入帳號與密碼」，如下圖:

由上述可知，HTTP基本認證是把帳密透過base64演算法加密，因此很容易被駭客偷取解密而得知帳密，因此一般會在有https的情況下使用。

由於HTTP的無狀態特性，HTTP基本認證也常被使用在Rest API中，前端透過ajax存取後端service時，每次的request都需要在header中加入「Authorization: Basic xxx」，service則會將xxx解密後比對帳密是否正確，決定要不要回傳資料給前端。

#本筆記參考: 1. https://www.itread01.com/content/1545355084.html?fbclid=IwAR1n40GuoLGCrjCJf-ne9M7fRmuPDV7crydccw0cihaeB_Yogt_5xyffGsA 2. https://www.itread01.com/content/1547532920.html?fbclid=IwAR2w136QBMUgalOSRSV643cFzlmUM8plY-3RCUKkyzUq0XU1wWyapAw0Ncc 3. https://medium.com/origino/user-authentication-2d7d8d08e108

分享至

成為作者繼續創作的動力吧！

Vic Lin

追蹤

從 Google News 追蹤更多 vocus 的最新精選內容