การตรวจสอบสิทธิ์พื้นฐาน HTTP และผู้ถือโทเค็น

ฉันกำลังพัฒนา REST-API ซึ่ง HTTP-Basic ได้รับการป้องกันสำหรับสภาพแวดล้อมการพัฒนา เนื่องจากการตรวจสอบความถูกต้องจริงผ่านโทเค็นฉันยังคงพยายามหาวิธีส่งส่วนหัวการอนุญาตสองรายการ

ฉันได้ลองสิ่งนี้แล้ว:

curl -i http://dev.myapp.com/api/users \
  -H "Authorization: Basic Ym9zY236Ym9zY28=" \
  -H "Authorization: Bearer mytoken123"

ตัวอย่างเช่นฉันสามารถปิดใช้งาน HTTP-Authentication สำหรับ IP ของฉันได้ แต่เนื่องจากโดยปกติแล้วฉันจะทำงานในสภาพแวดล้อมที่แตกต่างกันด้วยไดนามิก IPs นี่ไม่ใช่ทางออกที่ดี ฉันขาดอะไรไปหรือเปล่า?

ลองใช้วิธีนี้เพื่อผลักดันการรับรองความถูกต้องพื้นฐานที่ url:

curl -i http://username:password@dev.myapp.com/api/users -H "Authorization: Bearer mytoken123"
               ^^^^^^^^^^^^^^^^^^

หากข้างต้นไม่ได้ผลแสดงว่าคุณไม่มีส่วนเกี่ยวข้องใด ๆ ดังนั้นลองทางเลือกต่อไปนี้

คุณสามารถส่งโทเค็นภายใต้ชื่ออื่นได้ เนื่องจากคุณกำลังจัดการการอนุญาตจากแอปพลิเคชันของคุณ คุณจึงสามารถใช้ความยืดหยุ่นนี้เพื่อวัตถุประสงค์พิเศษนี้ได้อย่างง่ายดาย

curl -i http://dev.myapp.com/api/users \
  -H "Authorization: Basic Ym9zY236Ym9zY28=" \
  -H "Application-Authorization: mytoken123"

สังเกตว่าฉันได้เปลี่ยนส่วนหัวเป็นApplication-Authorizationไฟล์. ดังนั้นจากแอปพลิเคชันของคุณให้จับโทเค็นภายใต้ส่วนหัวนั้นและประมวลผลสิ่งที่คุณต้องทำ

สิ่งที่คุณสามารถทำได้อีกอย่างคือส่งtokenผ่านPOSTพารามิเตอร์และคว้าค่าของพารามิเตอร์จากฝั่งเซิร์ฟเวอร์ ตัวอย่างเช่นการส่งโทเค็นด้วยพารามิเตอร์ curl post:

-d "auth-token=mytoken123"

Standard ( https://tools.ietf.org/html/rfc6750 ) ระบุว่าคุณสามารถใช้:

• Form-Encoded Body Parameter: Authorization: Bearer mytoken123
• URI Query Parameter: access_token = mytoken123

ดังนั้นจึงเป็นไปได้ที่จะส่งผ่าน Bearer Token จำนวนมากพร้อม URI แต่การทำเช่นนี้ไม่ได้รับการสนับสนุน (ดูหัวข้อที่ 5 ในมาตรฐาน)

หากคุณใช้ reverse proxy เช่น nginx อยู่ระหว่างนั้นคุณสามารถกำหนดโทเค็นที่กำหนดเองได้เช่นX-API-Token.

ใน nginx คุณจะเขียนซ้ำเพื่อให้พร็อกซีต้นน้ำ (api ที่เหลือของคุณ) เป็นเพียงการรับรองความถูกต้อง:

proxy_set_header Authorization $http_x_api_token;

... ในขณะที่ nginx สามารถใช้ส่วนหัวการอนุญาตดั้งเดิมเพื่อตรวจสอบ HTTP AUth

ฉันมีปัญหาที่คล้ายกัน - ตรวจสอบอุปกรณ์และผู้ใช้ที่อุปกรณ์ ฉันใช้Cookieส่วนหัวควบคู่ไปกับAuthorization: Bearer...ส่วนหัว

ขด --anyauth

บอกให้ curl หาวิธีการตรวจสอบสิทธิ์ด้วยตัวเองและใช้วิธีที่ปลอดภัยที่สุดที่ไซต์ระยะไกลอ้างว่าสนับสนุน สิ่งนี้ทำได้โดยการร้องขอก่อนและตรวจสอบการตอบกลับ - ส่วนหัวซึ่งอาจทำให้เกิดเครือข่ายเพิ่มเติมไป - กลับ ใช้แทนการตั้งค่าวิธีการรับรองความถูกต้องเฉพาะซึ่งคุณสามารถทำได้ด้วย --basic, --digest, --ntlm และ --negotiate

มีโซลูชันอื่นสำหรับการทดสอบ API บนเซิร์ฟเวอร์การพัฒนา

• ตั้งค่าHTTP Basic Authenticationสำหรับเส้นทางเว็บเท่านั้น
• ปล่อยเส้นทาง API ทั้งหมดให้เป็นอิสระจากการตรวจสอบสิทธิ์

การกำหนดค่าเว็บเซิร์ฟเวอร์สำหรับnginxและLaravelจะเป็นดังนี้:

    location /api {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location / {
        try_files $uri $uri/ /index.php?$query_string;

        auth_basic "Enter password";
        auth_basic_user_file /path/to/.htpasswd;
    }

Authorization: Bearer จะทำหน้าที่ปกป้องเซิร์ฟเวอร์การพัฒนาจากโปรแกรมรวบรวมข้อมูลเว็บและผู้เยี่ยมชมที่ไม่ต้องการอื่น ๆ

ด้วย nginx คุณสามารถส่งโทเค็นทั้งสองแบบนี้ได้ (แม้ว่าจะผิดมาตรฐานก็ตาม):

Authorization: Basic basic-token,Bearer bearer-token

สิ่งนี้ใช้ได้ตราบเท่าที่โทเค็นพื้นฐานเป็นอันดับแรก - nginx ส่งต่อไปยังแอ็พพลิเคชันเซิร์ฟเวอร์ได้สำเร็จ

จากนั้นคุณต้องตรวจสอบให้แน่ใจว่าแอปพลิเคชันของคุณสามารถแยก Bearer จากสตริงด้านบนได้อย่างถูกต้อง