http - HTTP 'Authorization' Header 的多种认证方案

Question

对于我们的 api 用户，我们需要两种身份验证方式:

• 验证 api 用户(移动设备、合作伙伴集成)
• 验证拥有我们这边数据的特定“普通”用户

标准质询与响应是通过 WWW-Authenticate 和 Authorization header 处理的。我想重复使用它。

我有以下用例:在第一级，我们对 api 用户(例如移动设备)进行身份验证，对于某些 api 操作，我们还需要对用户(例如移动设备用户)进行身份验证。所以我们有一个特殊情况，我们“同时”需要两种身份验证方案。

查看http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html我看不出在一个“授权” header 中有两种不同的方案是可能的。

// I just made up delimiter ';'
Authorization: Digest .... ; CustomXXX ...

我说得对吗，如果是的话还有其他选择吗？

Answer 1

不，授权只能获取一组凭据。