http - 自定义授权 HTTP header

Question

我需要在客户端向 API 发送请求时对其进行身份验证。客户端有一个 API token ，我正在考虑使用标准的 Authorization header 将 token 发送到服务器。

通常此 header 用于Basic 和Digest 身份验证。但我不知道是否允许我自定义此 header 的值并使用自定义身份验证方案，例如:

Authorization: Token 1af538baa9045a84c0e889f672baf83ff24

你会推荐这个还是不推荐？或者是否有更好的发送 token 的方法？

Answer 1

您可以创建自己的使用 Authorization: header 的自定义身份验证模式 - 例如，这就是 OAuth 的方式有效。

作为一般规则，如果服务器或代理不理解标准 header 的值，它们将置之不理并忽略它们。它正在创建您自己的 header 键，这通常会产生意想不到的结果 - 许多代理会剥离带有他们无法识别的名称的 header 。

话虽如此，使用 cookie 来传输 token 可能是一个更好的主意，而不是 Authorization: header ，原因很简单，cookie 被明确设计为携带自定义值，而HTTP 内置 auth 方法的规范并没有真正说明任何一种方式 - 如果您想确切地看到它所说的内容，have a look here .

关于这一点的另一点是，许多 HTTP 客户端库都内置了对 Digest 和 Basic 身份验证的支持，但在尝试在 header 字段中设置原始值时可能会让生活变得更加困难，而它们都将提供简单的支持cookies 并将允许或多或少包含其中的任何值。