Grundlegende HTTP- und Bearer-Token-Authentifizierung

Ich entwickle derzeit eine REST-API, die für die Entwicklungsumgebung HTTP-Basic-geschützt ist. Da die eigentliche Authentifizierung über ein Token erfolgt, versuche ich immer noch herauszufinden, wie zwei Autorisierungsheader gesendet werden.

Ich habe es versucht:

curl -i http://dev.myapp.com/api/users \
  -H "Authorization: Basic Ym9zY236Ym9zY28=" \
  -H "Authorization: Bearer mytoken123"

Ich könnte zum Beispiel die HTTP-Authentifizierung für meine IP deaktivieren, aber da ich normalerweise in verschiedenen Umgebungen mit dynamischen IPs arbeite, ist dies keine gute Lösung. Vermisse ich also etwas?

Versuchen Sie dies, um die Basisauthentifizierung unter URL zu pushen:

curl -i http://username:password@dev.myapp.com/api/users -H "Authorization: Bearer mytoken123"
               ^^^^^^^^^^^^^^^^^^

Wenn oben nicht funktioniert, haben Sie nichts damit zu tun. Versuchen Sie also die folgenden Alternativen.

Sie können das Token unter einem anderen Namen übergeben. Weil Sie die Autorisierung aus Ihrer Anwendung bearbeiten. Sie können diese Flexibilität also problemlos für diesen speziellen Zweck nutzen.

curl -i http://dev.myapp.com/api/users \
  -H "Authorization: Basic Ym9zY236Ym9zY28=" \
  -H "Application-Authorization: mytoken123"

Beachten Sie, dass ich den Header in geändert habe Application-Authorization. Fangen Sie also in Ihrer Anwendung das Token unter diesem Header ab und verarbeiten Sie, was Sie tun müssen.

Sie können auch tokendie POSTParameter durchlaufen und den Wert des Parameters von der Serverseite abrufen. Zum Beispiel Token mit Curl-Post-Parameter übergeben:

-d "auth-token=mytoken123"

Standard ( https://tools.ietf.org/html/rfc6750 ) sagt, dass Sie Folgendes verwenden können:

• Formcodierter Körperparameter : Autorisierung: Inhaber mytoken123
• URI- Abfrageparameter : access_token = mytoken123

Es ist also möglich, viele Bearer Token mit URI zu übergeben, dies wird jedoch nicht empfohlen (siehe Abschnitt 5 im Standard).

Wenn Sie einen Reverse-Proxy wie z. B. nginx dazwischen verwenden, können Sie ein benutzerdefiniertes Token definieren, z X-API-Token.

In Nginx würden Sie es so umschreiben, dass der Upstream-Proxy (Ihre Rest-API) nur auth ist:

proxy_set_header Authorization $http_x_api_token;

... während nginx den ursprünglichen Authorization-Header verwenden kann, um HTTP AUth zu überprüfen.

Ich hatte ein ähnliches Problem - Gerät und Benutzer am Gerät authentifizieren. Ich habe einen CookieHeader neben einem Authorization: Bearer...Header verwendet.

locken --anyauth

Weist Curl an, die Authentifizierungsmethode selbst herauszufinden und die sicherste zu verwenden, die der Remote-Standort angeblich unterstützt. Dies erfolgt, indem zuerst eine Anforderung ausgeführt und die Antwortheader überprüft werden, wodurch möglicherweise ein zusätzlicher Netzwerk-Roundtrip induziert wird. Dies wird verwendet, anstatt eine bestimmte Authentifizierungsmethode festzulegen, die Sie mit --basic, --digest, --ntlm und --negotiate ausführen können.

Es gibt eine andere Lösung zum Testen von APIs auf dem Entwicklungsserver.

• Setzen Sie HTTP Basic Authenticationnur für Web - Routen
• Lassen Sie alle API-Routen frei von Authentifizierung

Webserverkonfiguration für nginxund Laravelwäre wie folgt:

    location /api {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location / {
        try_files $uri $uri/ /index.php?$query_string;

        auth_basic "Enter password";
        auth_basic_user_file /path/to/.htpasswd;
    }

Authorization: Bearer übernimmt die Aufgabe, den Entwicklungsserver gegen Webcrawler und andere unerwünschte Besucher zu verteidigen.

Mit nginx können Sie beide Token wie folgt senden (obwohl dies gegen den Standard verstößt):

Authorization: Basic basic-token,Bearer bearer-token

Dies funktioniert, solange das Basistoken zuerst vorhanden ist. Nginx leitet es erfolgreich an den Anwendungsserver weiter.

Und dann müssen Sie sicherstellen, dass Ihre Anwendung den Träger ordnungsgemäß aus der obigen Zeichenfolge extrahieren kann.