api - 使用访问 token 保护 API

Question

我没有使用任何类型的 SSL，我想知道以下问题:

如果我的数据库中存储了一个 API key 列表，我强制想要使用 API 的用户使用以下 HTTP header 进行调用:

'Authorization: Token token="c576f0136149a2e2d9127b3901015545"'

然后我检查该 token 是否存在。将它放在 HTTP header 中是否安全？如果没有，我该如何保护它？

谢谢

Answer 1

不，它绝对不安全。它遭受中间人和重放攻击。

将访问控制机制放在 HTTP header 中很糟糕，因为 HTTP 没有安全性。这意味着所有数据(包括密码、 header 等)都以明文形式传输。

当您使用 SSL 时，您的 HTTP 请求将通过安全连接进行隧道传送(为什么它是安全的在这里并不重要，只是假设它是安全的)。

只有这样，通过安全的 SSL 隧道来确保整个 HTTP 通信的安全，您才能安全地将访问控制机制放在 header 中。尽管如果您使用的是 SSL 隧道，那么将 token 放在哪里并不重要。