确认访问用户身份的验证

• 核对的信息
  ● 密码：只有本人才会知道的字符串信息。
  ● 动态令牌：仅限本人持有的设备内显示的一次性密码。
  ● 数字证书：仅限本人（终端）持有的信息。
  ● 生物认证：指纹和虹膜等本人的生理信息。
  ● IC卡等：仅限本人持有的信息。
• HTTP/1.1 使用的认证
  ● BASIC认证（基本认证）
  ● DIGEST认证（摘要认证）
  ● SSL客户端认证
  ● FormBase认证（基于表单认证）

BASIC认证

• BASIC认证虽然采用Base64编码方式，但这不是加密处理。不需要任何附加信息即可对其解码

DIGEST认证

• 质询响应方式：一开始一方会先发送认证要求给另一方，接着使用从另一方那接收到的质询码计算生成响应码。最后将响应码返回给对方进行认证的方式。
  
• WWW-Authenticate：该字段内包含质问响应方式认证所需的临时质询码（随机数，nonce）。
• Authorization：必须包含username、realm、nonce、uri和response的字段信息。其中，realm和nonce就是之前从服务器接收到的响应中的字段。
• Authentication-Info：写入一些认证成功的相关信息。

---

SSL客户端认证

步骤：

• 接收到需要认证资源的请求，服务器会发送Certificate Request报文，要求客户端提供客户端证书
• 用户选择将发送的客户端证书后，客户端会把客户端证书信息以Client Certificate报文方式发送给服务器。
• 服务器验证客户端证书验证通过后方可领取证书内客户端的公开密钥，然后开始HTTPS加密通信。

SSL客户端采用双因素认证

• 证书：这一个认证因素的SSL客户端证书用来认证客户端计算机
• 表单认证：这一个认证因素的密码则用来确定这是用户本人的行为。

---

基于表单验证

• 客户端会向服务器上的Web应用程序发送登录信息（Credential），按登录信息的验证结果认证。