2

Как я понимаю:

Когда клиент в первый раз обращается к серверу, мы отсылаем ему сгенерированный токен, который сохраняем в сессии. При каждом запросе клиент отправляет в заголовке Authorization этот же токен. На сервере проверяем, совпадает ли токен из заголовка с токеном из сессии.

Это так делается?

1 ответ 1

1

Да, описанная вами в вопросе схема иногда используется.

Заголовок Authorization может использоваться для базовой авторизации.

Когда клиент присылает неавторизованный запрос, сервер отвечает со статусом HTTP 401 Not Authorized и заголовком WWW-Authenticate

WWW-Authenticate: Basic realm="Some String"

Клиент в запросах указывает заголовок Authorization со значением полученным следующим образом:

  1. Логин и пароль объединяются в строку "логин:пароль", логин не может содержать ":"
  2. Получившеяся строка кодируется Base64
  3. Перед закодированной строкой ставится метод авторизации и пробел, в этом случае "Basic "

Для пары 'Aladdin' и 'open sesame' заголовок будет выглядеть так:

Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Вы можете использовать какой-нибудь готовый модуль, типа http-auth или сделать собственную реализацию.

Существуют и другие схемы авторизации, они описаны в RFC 1945.

2
  • Basic авторизация и авторизация с использованием токена это разные вещи. 26 сен 2015 в 10:14
  • Авторизация токеном уже описана в самом вопросе 26 сен 2015 в 10:29

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.