基本的なHTTPおよびベアラートークン認証

現在、開発環境用にHTTP-Basicで保護されたREST-APIを開発しています。実際の認証はトークンを介して行われるので、2つの認証ヘッダーを送信する方法を理解しようとしています。

私はこれを試しました：

curl -i http://dev.myapp.com/api/users \
  -H "Authorization: Basic Ym9zY236Ym9zY28=" \
  -H "Authorization: Bearer mytoken123"

たとえば、IPのHTTP認証を無効にすることもできますが、通常は動的IPを使用してさまざまな環境で作業しているため、これは適切なソリューションではありません。だから私は何かが足りないのですか？

これを試して、URLで基本認証をプッシュします。

curl -i http://username:password@dev.myapp.com/api/users -H "Authorization: Bearer mytoken123"
               ^^^^^^^^^^^^^^^^^^

上記の1つが機能しない場合は、それとは何の関係もありません。したがって、以下の代替案を試してください。

トークンを別の名前で渡すことができます。アプリケーションからの承認を処理しているからです。したがって、この柔軟性をこの特別な目的に簡単に使用できます。

curl -i http://dev.myapp.com/api/users \
  -H "Authorization: Basic Ym9zY236Ym9zY28=" \
  -H "Application-Authorization: mytoken123"

ヘッダーをに変更したことに注意してくださいApplication-Authorization。したがって、アプリケーションからそのヘッダーの下でトークンをキャッチし、必要な処理を実行します。

あなたが行うことができますもう一つは、渡すこと、であるtokenを通じてPOSTパラメータとサーバ側からのパラメータの値をつかみます。たとえば、curl postパラメータを使用してトークンを渡す場合：

-d "auth-token=mytoken123"

標準（https://tools.ietf.org/html/rfc6750）は、以下を使用できると述べています

• フォームエンコードされた本文パラメーター：承認：Bearer mytoken123
• URIクエリパラメータ：access_token = mytoken123

そのため、URIを使用して多くのベアラートークンを渡すことは可能ですが、これはお勧めできません（標準のセクション5を参照）。

間にnginxなどのリバースプロキシを使用している場合は、などのカスタムトークンを定義できますX-API-Token。

nginxでは、上流のプロキシ（残りのAPI）がauthになるように書き換えます。

proxy_set_header Authorization $http_x_api_token;

... nginxは元のAuthorizationヘッダーを使用してHTTP AUthをチェックできます。

同様の問題がありました-デバイスでデバイスとユーザーを認証します。Cookieヘッダーと一緒にAuthorization: Bearer...ヘッダーを使用しました。

curl --anyauth

curlにそれ自体で認証方法を理解し、リモートサイトがサポートすると主張している最も安全な方法を使用するように指示します。これは、最初に要求を実行し、応答ヘッダーをチェックすることによって行われます。そのため、追加のネットワークラウンドトリップが発生する可能性があります。これは、特定の認証方法を設定する代わりに使用されます。これは、-basic、-digest、-ntlm、および--negotiateで実行できます。

開発サーバーでAPIをテストするための別のソリューションがあります。

• HTTP Basic AuthenticationWebルートのみに設定
• すべてのAPIルートを認証から解放する

Webサーバーの構成は次のようにnginxなりますLaravel。

    location /api {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location / {
        try_files $uri $uri/ /index.php?$query_string;

        auth_basic "Enter password";
        auth_basic_user_file /path/to/.htpasswd;
    }

Authorization: Bearer Webクローラーやその他の不要な訪問者から開発サーバーを守る役割を果たします。

nginxを使用すると、次のように両方のトークンを送信できます（標準に違反している場合でも）。

Authorization: Basic basic-token,Bearer bearer-token

これは、基本的なトークンが最初である限り機能します-nginxはそれをアプリケーションサーバーに正常に転送します。

次に、アプリケーションが上記の文字列からBearerを適切に抽出できることを確認する必要があります。