2

Как я понимаю:

Когда клиент в первый раз обращается к серверу, мы отсылаем ему сгенерированный токен, который сохраняем в сессии. При каждом запросе клиент отправляет в заголовке Authorization этот же токен. На сервере проверяем, совпадает ли токен из заголовка с токеном из сессии.

Это так делается?

1 ответ 1

1

Да, описанная вами в вопросе схема иногда используется.

Заголовок Authorization может использоваться для базовой авторизации.

Когда клиент присылает неавторизованный запрос, сервер отвечает со статусом HTTP 401 Not Authorized и заголовком WWW-Authenticate

WWW-Authenticate: Basic realm="Some String"

Клиент в запросах указывает заголовок Authorization со значением полученным следующим образом:

  1. Логин и пароль объединяются в строку "логин:пароль", логин не может содержать ":"
  2. Получившеяся строка кодируется Base64
  3. Перед закодированной строкой ставится метод авторизации и пробел, в этом случае "Basic "

Для пары 'Aladdin' и 'open sesame' заголовок будет выглядеть так:

Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Вы можете использовать какой-нибудь готовый модуль, типа http-auth или сделать собственную реализацию.

Существуют и другие схемы авторизации, они описаны в RFC 1945.

2
  • Basic авторизация и авторизация с использованием токена это разные вещи. 26 сен 2015 в 10:14
  • Авторизация токеном уже описана в самом вопросе 26 сен 2015 в 10:29

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.