http-headers - JWT 的最佳 HTTP 授权 header 类型

Question

我想知道 JWT tokens 最合适的 Authorization HTTP header 类型是什么.

可能最流行的类型之一是Basic。例如:

Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

它处理两个参数，例如登录名和密码。因此它与 JWT token 无关。

此外，我听说过 Bearer 类型，例如:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

但是我不知道它的含义。和熊有关系吗？

是否有在 HTTP Authorization header 中使用 JWT token 的特定方法？我们应该使用 Bearer，还是应该简化并仅使用:

Authorization: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

谢谢。

编辑:

或者也许只是一个 JWT HTTP header :

JWT: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

Answer 1

客户端发送访问 token (JWT 或任何其他 token )的最佳 HTTP header 是具有 Bearer 身份验证方案的 Authorization header 。

此方案由 RFC6750 描述。 .

示例:

GET /resource HTTP/1.1
Host: server.example.com
Authorization: Bearer eyJhbGciOiJIUzI1NiIXVCJ9TJV...r7E20RMHrHDcEfxjoYZgeFONFh7HgQ

如果您需要更强的安全保护，您还可以考虑以下IETF草案:https://datatracker.ietf.org/doc/html/draft-ietf-oauth-pop-architecture 。该草案似乎是(废弃？)https://datatracker.ietf.org/doc/html/draft-ietf-oauth-v2-http-mac 的一个很好的替代方案。 .

请注意，即使此 RFC 和上述规范与 OAuth2 框架协议(protocol)相关，它们也可以用于需要客户端和服务器之间进行 token 交换的任何其他上下文。

与您在问题中提到的自定义 JWT 方案不同，the Bearer one is registered at the IANA .

关于 Basic 和 Digest 身份验证方案，它们专用于使用用户名和 key 进行身份验证(请参阅 RFC7616 和 RFC7617 )，因此不适用于那个上下文。