使用http基本访问身份验证时，在URL中隐藏用户和密码

Question

我目前正在使用基本身份验证的网站连接，我的网址看起来像http://username:password@mysite.com。它有效，但每个人都可以看到密码;是否有任何方法可以通过base64或类似方法隐藏它？

Answer 1

此语法只是浏览器的快捷方式。某些浏览器将使用此语法来构建授权标头（有些不会）。

但是。有一件事是肯定的。 您向每个人提供了+密码。如果您的站点使用基本身份验证，则需要向用户提供用户和密码信息，例如在电子邮件中。为什么要添加身份验证然后让每个人都访问经过身份验证的部分？

HTTP基本身份验证is not very secure。但可用于防止机器人或 https 进行索引。当你添加这种（烦人的）弹出窗口时，用户将不得不输入凭据，没有其他办法。浏览器将记录凭据，并在浏览器关闭之前为站点上请求的每个页面添加相同的信息（用户+在base64中编码的传递 - 这意味着明文，无安全性 - ）。因此，您不需要在网址上添加凭据，浏览器会在首次弹出后为您执行此操作。