HTTP basic auth, digest auth и Oauth?

Ответ 1

Я также пытаюсь найти ответ на этот вопрос. Я бы сказал, это зависит от того, какой объем вашего предназначенного приложения. oAUTH ограничивает доступ к разработчикам, которые должны были бы построить клиент для установления связи.

Basic может работать со многими клиентами браузера данных, такими как Sesame, а также работать с Excel 2010, а также с любым старым браузером. единственная проблема - это пароли, перемещающиеся в ящике, которые могут быть смягчены путем размещения вашего приложения через https.

Не знаю много о дайджесте, к сожалению.

Я лично пытаюсь протестировать реализацию каждого из них: http basic и oauth.

Ответ 2

Глянцевание многих деталей здесь, но:

http basic: отправить имя пользователя и пароль в поле "Очистить" в заголовке Authorize

http digest: отправить имя пользователя и пароль, где пароль был хэширован сервером, предоставленным nonce

Обе версии oauth изначально предназначены для предоставления третьим сторонам доступа к ресурсам, которые им не принадлежат (например, я разрешаю мобильному фотоприложению отправлять почту в facebook от моего имени), не предоставляя третьему лицу мои учетные данные. Оба этих протокола работают в основном следующим образом:

• Из приложения для мобильных фотографий пользователь направляется на страницу входа в facebook
• Как только они вошли в систему, они будут перенаправлены обратно в приложение для мобильных фотографий с кодом.
• Приложение для мобильных фотографий затем выдает этот код для токена доступа
• Приложение для мобильных фотографий может затем отправлять запросы на facebook, чтобы отправлять мои фотографии на мою стену.

oauth1.0a: более безопасный, чем oath2, но более сложный для реализации также требует, чтобы все запросы подписывались.

oauth2: полагается на ssl для обеспечения безопасности и не требует подписи запроса. В то время как ведущий автор отказался от проекта, потому что он считает, что он не соответствует ни одной из его первоначальных целей дизайна (безопасность, интероперабельность), он широко используется Facebook и Google.

Вот несколько статей, которые я нашел полезными здесь:

• https://blog.apigee.com/detail/api_authentication_and_how_it_got_that_way_from_http_basic_to_oauth_2.0

• https://www.stormpath.com/blog/secure-your-rest-api-right-way

Недостаточно mojo еще для ссылки на rfcs, но это окончательные источники, если они немного неудобоваримы.

Ответ 3

У Фила Осергона есть приличная книга (Build APIs You Won ' t Hate) со всей главой, посвященной аутентификации. Он охватывает:

• Основные
• Дайджест
• OAuth 1.0a
• OAuth 2

Я бы очень рекомендовал его прочитать, если вы планируете внедрять такие механизмы в свой RESTful API.

Обновление Почему downvote?