授权请求标头与POST请求主体的凭证

Question

哪种方法从前端向后端服务器发送用户凭据？ 我看到了一些示例，其中一些开发人员使用授权标头，而另一些在POST正文中传递凭据。

Answer 1

在尝试登录时，凭据通常进入请求正文一次。 尽管应该通过HTTP标头，请求正文还是作为GET参数发送此令牌，但这取决于您（或您正在实现的协议）。

使用标头通常是一个好习惯，因为GET请求不应包含请求主体，并且传递令牌作为GET参数可能并不总是一种选择（例如，由于令牌出现在各种日志中）。

无论哪种方式，我都建议您避免尝试实现自己的协议并改用现有的标准。

Answer 2

网站将密码传输到服务器的唯一安全方法是使用HTTPS / SSL。如果连接本身未加密，ManInTheMiddle可以修改或剥离发送给客户端的任何JavaScript。因此，您不能依赖客户端哈希。

此外，始终使用标头发送敏感数据，例如USER-ID，API-KEY，AUTH-TOKENS 您还可以link引用此堆栈问题以获取更多信息，以及此link