Передача имени пользователя и пароля в HTTP Параметры запроса GET

Question

Я создаю API RESTful для своего приложения, и я хотел бы сделать его максимально прозрачным и прозрачным.

Мне нужно создать конечную точку аутентификации, и это делает большинство смысла для меня, чтобы построить его, так что пользователи могут проходить проверку подлинности в следующим образом:

GET https://example.com/ 
    auth?identity=<username_or_email>&password=<password> 

Как я уже сказал, передавая данные аутентификации для пользователей с помощью HTTP GET метод в параметрах запроса кажется мне очень чистым.

Но я хотел бы, чтобы вы спросили, насколько это безопасно. Учитывая, что он будет зашифрован через SSL/TLS, считаете ли вы, что это хорошая идея для передачи учетных данных пользователя, как это?

Answer 1

Отображаемое имяsaid, оба варианта в основном представляют собой обычный текст (даже с использованием кодировки base64). Поэтому вы должны использовать TLS или другую защиту, например HMAC

Но с другой стороны, строка запроса менее безопасна с точки зрения того, как сервер/клиент работает с URL-адресами в целом. Вы можете прочитать об этом here или here. Вкратце Вы должны быть беспокоиться о следующих

• URL, которые хранятся в журналах веб-сервере
• URL, которые хранятся в истории браузера
• URL-адрес передается в заголовках реферер

Answer 2

С точки зрения безопасности не имеет значения, передаете ли вы учетные данные в качестве параметров запроса или в заголовках Authentication. Оба являются в основном обычным текстом. Итак, вы должны использовать TLS.

С точки зрения REST ваш URL-адрес выглядит как RPC: вы вызываете метод auth, который принимает два параметра: identity и password. Что представляет собой ресурс REST, который представляет этот URL? Что произойдет, если вы сделаете второй запрос GET с идентичными параметрами? Каков ответ?

Answer 3

Ну, я в основном передаю строку base64 на сервер. Мое имя пользователя и пароль, преобразуются в base64, а затем передаются в заголовке Authorization

Authorization : "Basic --Value" 

Я считаю, это самый чистый способ передачи имени пользователя и пароля на сервер.

С другой стороны, сервер имел модуль, называемый паспортом. Паспорт предоставляет различные типы авторизации и аутентификации, такие как Basic, bearer, токен или даже ваш собственный пользовательский интерфейс.

Для вышеуказанной цели я использую базовый модуль.