访问 REST Web 服务的摘要式身份验证
您好，我正在开发一个移动客户端，它将使用一些公开的其余 Web 服务。但在此之前我们需要为它们增加安全性。我一直在研究 HTTP 基本和摘要身份验证，但是由于我无法使用 https 连接，因此不认为这是保护我的资源的最佳方法...其他帖子建议使用会话 cookie 进行授权...但在这种情况下，我如何避免在身份验证时通过我的连接发送原始密码？
Hello I'm developing a mobile client that will consume some exposed rest web services. But before that we need to add security to them. I have been looking at HTTP Basic and Digest Authentication, however since I cannot use an https connection, don't think this would be the best approach to securing my resources... Other posts have suggested using session cookies for the authorization... but in that case how could I avoid sending raw password through my connection while authenticating??.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
这个关于静态身份验证的问题可能有您正在寻找的内容。进行一次身份验证，并让服务器存储一个独立于会话的 cookie，其中包含用于将来身份验证的加密密钥。唯一的问题是在不使用纯文本的情况下执行第一次身份验证。基本与摘要将为您散列凭证，但如果不是通过安全通信，仍然不完全安全。
This question on restful authentication might have what you are looking for. Authenticate once and have the server store a session-independent cookie containing an encrypted key for future authentication. The only issue then is performing the first authentication without using plain text. Basic & Digest will hash the credentials for you but are still not entirely secure if not over secure communications.