图解HTTP（八）—— 确认用户身份的认证

一、何为认证

        计算机本身无法判断坐在显示器前的使用者的身份，为了弄清楚究竟是谁在访问服务器，就得让对方的客户端自报家门。为确保使用者具有访问系统的权限，就需要核对使用者本人才知道的信息，这就是认证。

1、认证信息

        核对的信息通常包括以下这些：

① 密码：只有本人才知道的字符串信息；

② 动态令牌：仅限本人持有的设备内显示的一次性密码；

③ 数字证书：仅限本人（终端）持有的信息；

④ 生物认证：指纹和虹膜等本人的生理信息；

⑤ IC卡等：仅限本人持有的信息。

2、认证方式

        HTTP/1.1使用的认证方式如下：

① BASIC认证（基本认证）；

② DIGEST认证（摘要认证）；

③ SSL客户端认证；

④ FormBase认证（基于表单认证）。

二、BASIC认证

        BASIC认证是从HTTP/1.0开始就定义的认证方式，它是Web服务器与通信客户端之间进行的认证方式。

1、BASIC认证图解

2、BASIC认证步骤

        步骤 1： 当请求的资源需要 BASIC 认证时，服务器会随状态码 401 Authorization Required，返回带 WWW-Authenticate 首部字段的响应。 该字段内包含认证的方式（BASIC） 及 Request-URI 安全域字符串 （realm）。

        步骤 2： 接收到状态码 401 的客户端为了通过 BASIC 认证，需要将 用户 ID 及密码发送给服务器。发送的字符串内容是由用户 ID 和密码 构成，两者中间以冒号（:）连接后，再经过 Base64 编码处理。 假设用户 ID 为 guest，密码是 guest，连接起来就会形成 guest:guest 这 样的字符串。然后经过 Base64 编码，最后的结果即是 Z3Vlc3Q6Z3Vlc3Q=。把这串字符串写入首部字段 Authorization 后， 发送请求。 当用户代理为浏览器时，用户仅需输入用户 ID 和密码即可，之后， 浏览器会自动完成到 Base64 编码的转换工作。

        步骤 3： 接收到包含首部字段 Authorization 请求的服务器，会对认证 信息的正确性进行验证。如验证通过，则返回一条包含 Request-URI 资源的响应。

        总结：BASIC 认证虽然采用 Base64 编码方式，但这不是加密处理。不需要 任何附加信息即可对其解码。换言之，由于明文解码后就是用户 ID 和密码，在 HTTP 等非加密通信的线路上进行 BASIC 认证的过程 中，如果被人窃听，被盗的可能性极高。 另外，除此之外想再进行一次 BASIC 认证