摘要式身份验证以访问其余的Web服务

Question

您好，我正在开发一个移动客户端，它将使用一些公开的其余Web服务。 但是在此之前，我们需要为它们增加安全性。 我一直在研究HTTP基本和摘要式身份验证，但是由于无法使用https连接，因此不要以为这是保护我的资源的最佳方法...其他帖子建议使用会话cookie进行授权...但是在那种情况下，如何避免验证时通过连接发送原始密码？

Answer 1

有关静态身份验证的问题可能具有您所需要的。 进行一次身份验证，并让服务器存储与会话无关的cookie，该cookie包含用于将来身份验证的加密密钥。 然后，唯一的问题是不使用纯文本执行第一次身份验证。 Basic＆Digest将为您散列凭据，但如果不通过安全通信，则仍不是完全安全。