authentication - 为什么我们在 Header 上传递身份验证 token ？

Question

我在 上有自己的登录概念laravel .现在我想使其成为第三方登录解决方案。所以我必须明白很多事情。所以请告诉我

为什么我们总是通过身份验证 token 在 标题的 获取 和 发帖 方法 ？

为什么不在直接 url ( Query String ) 上？

什么是 优势和 缺点 这个的？

Answer 1

除了 Max 的回答，请参阅这篇 OWASP 文章，其中提到了为什么将敏感信息放入查询参数并不是一个好主意的更多细节:

https://www.owasp.org/index.php/Information_exposure_through_query_strings_in_url

关于您的问题，为什么最好将此信息放入标题中，分别是。将其放入 URL 的缺点(或更好:威胁)是什么:

This allows attackers to obtain sensitive data such as usernames, passwords, tokens (authX), database details, and any other potentially sensitive data. Simply using HTTPS does not resolve this vulnerability.