在 URL 中传递的 HTTP 基本身份验证凭据和加密

Question

我有关于 HTTPS 和 HTTP 身份验证凭据的问题。

假设我使用 HTTP 身份验证保护 URL：

<Directory /var/www/webcallback>
AuthType Basic
AuthName "Restricted Area"
AuthUserFile /var/www/passwd/passwords
Require user gooduser
</Directory>

然后我通过 HTTPS 从远程系统访问该 URL，并在 URL 中传递凭据：

https://gooduser:[email protected]/webcallback?foo=bar

用户名和密码是否会自动进行 SSL 加密？ GET 和 POST 也是如此吗？我很难找到包含此信息的可靠来源。

Answer 1

用户名和密码会自动进行 SSL 加密吗？ GET 和 POST 也是如此

是的，是的。

使用 SSL 时，整个通信（如果主机名的 IP 尚未缓存，则除了 DNS 查找之外）都会被加密。

Answer 2

是的，它将被加密。

如果您简单地检查一下幕后发生的事情，您就会明白。

1. 浏览器或应用程序将首先分解 URL 并尝试使用 DNS 查询获取主机的 IP。即：将发出 DNS 请求来查找域的 IP 地址 (www.example.com)。请注意，不会通过此请求发送任何其他信息。
2. 浏览器或应用程序将使用从 DNS 请求收到的 IP 地址发起 SSL 连接。证书将被交换，这发生在传输级别。此时不会传输任何应用程序级别信息。请记住，基本身份验证是 HTTP 的一部分，而 HTTP 是应用程序级协议。 不是传输层任务。
3. 建立 SSL 连接后，现在必要的数据将传递到服务器。即：路径或URL、参数和基本身份验证用户名和密码。

Answer 3

不一定是真的。它将在网络上加密，但仍以纯文本形式记录在日志中