REST 安全性，使用基本身份验证加上 jwt token 验证是一种不好的做法吗？

Question

我正在制作一个安全的休息服务，并且我已经使用基本身份验证加上之前获得的 jwt token 对其进行了保护，我是否使安全性过于强大或者这是必须遵循的必要途径？

Answer 1

同时使用 HTTP Basic 身份验证和 JWT token 不会使应用程序更安全，它实际上会降低安全性和处理起来更复杂。

HTTP Basic 身份验证由用户代理(通常是浏览器)完成。它永久添加 Authorization: Basic <payload>每个请求的 header 。您无法注销。除非您关闭代理，否则它将在那里。唯一的好处是可以使此身份验证无效。我们通常不对人类使用这种身份验证，但仅用于微服务，因为浏览器处理不当(忘记关闭选项卡并注销，如果有人物理访问您的计算机，您就完了)。

JWT 好一点。它可能会过期。但不能失效(至少不设置额外的基础设施)。

现在你得到的是两个世界中最糟糕的一个。您无法注销。如果您的 JWT token 过期，它将被重新生成，因为您仍然拥有 Basic Auth。如果您使基本身份验证无效，您可能(也许 - 需要检查它以确保 100% 确定)仍然使用 JWT token 访问应用程序，直到它过期。

不要相信我的话。只需检查在 JWT token 过期后，您是否仍然可以访问该应用程序，然后检查 JWT token 会发生什么情况。

我曾经使用 JSESSIONID 进行基本身份验证和普通身份验证。混合也不起作用。