rest - http-headers 和 http-body 之间有什么安全区别吗？

Question

我将创建一个发布请求，并且我正在使用 token ，为什么我必须将 token 放入 header 而不是请求正文中？我的理解是 body 比 http-headers 更安全，是吗？

或者将 token 放入 header 的唯一原因是为了在我们的 API 中的多个方法之间分离并保持一致性

Answer 1

Header 对服务器来说更方便。

想象一个 API，你上传一个文件作为 PUT 的正文 - 如果 token 也在正文中，你必须以某种方式处理编码正文以明确什么是 token 以及什么是上传的文件。

如果 body 是 JSON，你可以将 token 放在 body 旁边(在这种情况下你不能只是 JSON.parse 它，你需要再次解码它们如何组合在一起)或者你可以将 token 埋在 JSON 中(在这种情况下您必须先下载整个 JSON 并对其进行解析，然后才能获取 token )。

可以在下载正文之前访问 header - 因此，如果恶意代理通过向您发送大量 100Mb 请求对您的服务器进行 DoS 攻击，您可以在收到 header 后立即检测到缺乏适当的授权，然后关闭断开连接，而无需下载和分析 100Mb 的有效负载。

与在标题中相比，我看不出在正文中有 token 有任何好处。