保護Rest Web服務以進行公共身份驗證-服務器到服務器

Question

我有一個公共的RESTful API，用於Web應用程序的用戶身份驗證，該應用程序接受明文形式的用戶ID和密碼（請參見下文）。 用戶名在URL路徑中作為路徑參數傳遞，密碼是查詢字符串參數。 HTTP GET來自服務器端的另一個Web應用程序（http客戶端請求），此API安全嗎？ 我的印象是，如果請求從服務器到服務器，則無法看到URL。 我的主要擔心是，有人可能會使用Firebug之類的東西來查看流量並獲取用戶名和密碼。

REST端點：

HTTP GET https://host:80/user/joebob?password=pass123

Answer 1

絕對可以肯定有人可以通過簡單的網絡嗅探器查看用戶名和密碼。 如果要發布請求，為什么URL中的參數呢？ 它們應該像普通的POST一樣位於身體中，然后至少啟動SSL保護，並且人們不能嗅探它們。 另一個選擇是讓您查看HTTP基本身份驗證。