Rest API 基本认证

Question

当客户端尝试使用基本身份验证登录 API 时，服务器是否返回 API 密钥和共享密钥？ 例如，如果用户输入此链接http://api.example.com/authorize?auth=some_encoded_Base64_string ，响应将是：

Content-Type: application/xml
Date: Fri, 10 Nov 2006 20:04:45 GMT    
Transfer-Encoding: chunked
Authorization: apiKey;secretKey

使用这种方法会有问题吗？ 我想要这样，因为 API 核心方法将只接受 APIKey 哈希，并且为了获得它们需要使用基本身份验证作为第一步。 我暂时不会在这里使用 OAuth。

我正在为这个项目尝试新的 ASP.NET Web API。

Answer 1

HTTP 未在响应中定义Authorization标头，因此如果您需要定义自定义标头，请使用X-前缀。

同样从设计角度来看，HTTP 标头将传递与调用正交的数据。 您似乎试图传递需要在有效负载中的一段数据，因此我将避免使用标头。

我会在有效载荷中传递这些数据。

如果您使用 SSL 并在 URL、HTTP 标头或有效负载中传递数据，它将是安全的。