http - 在 HTTP 中协商基于 token 的身份验证是否有任何标准？

Question

我知道 Basic 和 Digest HTTP 身份验证，但这些都假定使用用户名/密码组合。我正在开发一个基于 HTTP 的 API，其中身份验证是通过 token 完成的。我想知道是否有关于服务器应如何通过 WWW-Authenticate header 请求 token 以及客户端应如何通过 Authorization header 发送 token 的标准。

我知道有提议 “HTTP Authentication: Token Access Authentication”我认为这涵盖了我的想法(以及哪个 seems to be used in Rails ？)；但据我所知，该提案从未发展到“标准”。

还有其他标准化方法吗？

Answer 1

你应该看看这些:

• OAuth 2
• OpenID (StackOverflow 用于使用 Google/Facebook/Yahoo 登录)。