在HTTP Basic Auth的URL中传递用户名和密码

Question

传递URL中编码的用户名和密码时，例如： https：// Aladdin：OpenSesame@www.example.com/index.html

客户端实际上是通过Authorization标头发送的吗？ 对于这种URL编码，服务器端需要什么样的处理？

Answer 1

客户端实际上是通过Authorization标头发送的吗？

这取决于客户是什么。 如果客户端是浏览器，答案是否定的。 这是实验结果：

• 在Chrome中，不会发送授权标头。
• 在Firefox中，不会发送授权标头。 Firefox也会提示确认对话框，因为主动发送身份验证信息很奇怪。
• 在Safari中，不会发送授权标头。 Safari还将首先显示警告页面，因为它怀疑该URL属于钓鱼网站。
• 在Opera中，不会发送任何授权标头。
• 我在Mac上，无法在IE / Edge上运行实验。 但根据其他浏览器的合理行为，我猜IE / Edge的行为是一样的。 无论如何，如果有人参加实验并获得结果，我会很感激。

一般来说，出于安全原因，浏览器将忽略在URL中主动发送的身份验证信息。

但是，如果客户端是开发工具，则可以在base64中对身份验证信息进行编码，并将其作为授权标头发送。 这是一些实验结果：

• 在curl中，是的，发送授权标头。
• 在Postman中，不会发送授权标头。

是否发送授权标头取决于工具的设计。

对于这种URL编码，服务器端需要什么样的处理？

在服务器端，您需要做的就是从Authorization标头获取base64编码的字符串，对其进行解码，并检查它是否有效。

如果在示例URL中使用HTTP协议会有什么不同吗？

为了安全起见，是的，通过HTTP的授权标头是非常不安全的。 Base64编码/解码不会带来任何安全性好处，它可以被所有人解码。

否则，他们是一样的。