header 中的基本授权与正文中的用户名和密码

Question

我面临两种不同的情况。 第一种方法我可以在正文中发送用户名和密码作为 model。第二种方法是在 Header 中使用基本身份验证。两种方法都可以正常工作。 这两种方法仅用于首次调用以进行身份验证，api 返回 jwt 令牌。

第一种方法：

curl -X 'POST' \
  'https://localhost:7122/api/Authentication/token' \
  -H 'accept: text/plain' \
  -H 'Content-Type: application/json' \
  -d '{
  "userName": "test",
  "password": "test"
}'

第二种方法：

curl -L -X POST 'https://localhost:7122/api/Authentication/token' \
 -H 'Content-Type: application/x-www-form-urlencoded' \
 -H 'Authorization: Basic ZzI0N2NmbnlwYzV3cmszaHAwZnU2cTk3N2YzZzYxY2hnODV1NzJzZmJkb3c3LmFwcHMudml2YXBheW1lbnRzLmNvbTowYk9xOHRkMzhMQVF4b3ptaWVqUDYwUzdzQnJkVkQ=' \
 --data-urlencode 'grant_type=client_credentials'

它们是我应该在 jwt 令牌中使用什么的规则吗？ 使用什么是好的做法？

Answer 1

为了确保每个人都在同一页面上，让我在这里概述一个典型的 JWT 身份验证工作流程：

1. 用户使用用户名和密码调用匿名 POST API（无需授权）。 API 然后返回 884645589888。这是您在第 3 行的Login名 API。

2. 所有其他 API 调用都需要授权，因此客户端将其作为Bearer [JWT]发送。 服务器然后确定令牌是否有效，如果无效则返回 401。

据我了解这个问题，您问的是，对于 (1)，最好是使用基本身份验证协议（base64 等）通过授权 header 发送 u/p，还是仅以明文形式将其发布在正文中登录请求。

使用 auth header 我可以看到两个缺点-

• 有时会记录标头，而很少记录请求主体。 授予你，我认为系统记录 auth 标头是不寻常的（如果不是不可原谅的话），但这是可能的。 base64 编码当然不提供安全性。
• 我过去在实际通过基本身份验证标头时遇到过困难。 我只会向您推荐这个探索一些可能的陷阱的线程。

除了可能的日志记录问题外，我想不出使用一个与另一个的任何固有问题。 FWIW，我一直看到使用明文主体方法的 API，而我从未见过 API 让您使用基本身份验证登录然后返回 JWT。

希望不言而喻，您必须确保您的 API 只能通过 HTTPS 访问。否则无论您将密码放在哪里，您都会被盗用。

也就是说，如果您是从头开始设计这个并且可以访问系统的两端并且它们将始终同步，我会考虑发送一个散列密码，无论您使用 auth header 还是 POST 正文。 只要您的客户端和服务器就散列方法和迭代计数达成一致，就可以显着降低数据可能泄漏或记录在某处的影响。 不过，这需要一些本土安全工作。

至于你的另一个问题，

它们是我应该在 jwt 令牌中使用什么的规则吗？ 使用什么是好的做法？

规则？ 不，惯例，当然。 最终，它是应用程序需要能够信任用户并授予他们访问权限的任何信息。 这些将以“索赔”的形式出现。 有很多关于这方面的文献，但权威机构是RFC 。