基于令牌的身份验证安全吗？
任何请求都是通过 HTTPS 发出的，并且令牌通过以下方式传输：
a) GET https://foo.dom /foobar?auth_token=abcxyz
b) 使用 HTTP- GET https://foo.dom/foobar标头像 X-FOOBAR-TOKEN: abcxyz
据我了解 SSL，在 HTTP 请求的情况下，客户端首先协商 SSL 连接，并且仅在安全连接成功建立的情况下传输附加参数和/或 HTTP 标头。
到目前为止我是对的吗？
谢谢任何建议。 菲利克斯
any request is made via HTTPS and the token is transmitted the following ways:
a) GET https://foo.dom/foobar?auth_token=abcxyz
b) GET https://foo.dom/foobar with HTTP-header like X-FOOBAR-TOKEN: abcxyz
As I understand SSL, in case of an HTTP request the client first negotiates the SSL connection and does only transmit additional parameters and/or HTTP headers in case the secure connection was established successfully.
Am I right so far?
Thx fur any suggestion.
Felix
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
SSL 为您购买传输加密，因此在从站点发送/接收身份验证令牌时，没有人可以获取该身份验证令牌。有一些中间人攻击可以针对 SSL 执行，但通常 SSL 应该保护令牌内容。
安全性的成败在于令牌本身是否具有加密安全性。如果这是真的，那么你就是金子。查看此网站 http://web.mit.edu/kerberos/dialogue.html 。
还有很多其他网站使用安全令牌进行身份验证，请参阅： http://docs.amazonwebservices.com/AmazonS3/latest/dev/index.html?RESTAuthentication.html。
SSL buys you encryption of the transport so no one can snag the auth token while it is being sent/to from the site. There are some man-in-the-middle attacks that can be performed against SSL but generally SSL should protect the token content.
What makes or breaks the security is whether or not the Token it-self is cryptographically secure. If that can be said to be true then your are golden. Check out this site http://web.mit.edu/kerberos/dialogue.html.
There are plenty of other sites that use secrue tokens for auth, see: http://docs.amazonwebservices.com/AmazonS3/latest/dev/index.html?RESTAuthentication.html.