解析Web开发中的几种认证方法及应用场景

690次阅读

没有评论

共计 3970 个字符，预计需要花费 10 分钟才能阅读完成。

在 Web 开发中，认证是保障系统安全性的重要一环。不同的应用场景对认证方式的要求也不同。下面我们来详细介绍几种常见的认证方式。

本文是看了 B 站博主“IT 老齐”的一个视频，算是一个笔记，再者星哥再去整合一些知识。

解析 Web 开发中的几种认证方法及应用场景

HTTP Basic Authentication（基本认证） 是一种简单的身份验证方法，广泛应用于一些对安全要求不高的场景，或者作为 Web 服务、API 之间通信的基本身份验证机制。

尽管存在安全隐患，但它因其实现简洁、配置简单，仍然在很多场景中得到了应用。

使用 htpasswd 工具生成用户名和密码的组合，并加密密码。

htpasswd -c /etc/nginx/.htpasswd user1

在 Nginx 配置文件（通常是 /etc/nginx/nginx.conf 或相应的虚拟主机配置文件）中，添加以下配置来启用 Basic Authentication：

server {
    listen 80;
    server_name example.com;

    location / {
        auth_basic "Restricted Access";  # 提示信息
        auth_basic_user_file /etc/nginx/.htpasswd;  # 指定密码文件路径

        # 其他配置
    }
}

保存配置文件后，重启 Nginx 以使配置生效：

sudo systemctl restart nginx

使用浏览器打开站点，输入用户名密码

解析 Web 开发中的几种认证方法及应用场景

如果输入错误则会显示 401

解析 Web 开发中的几种认证方法及应用场景

令牌认证是一种安全协议，通过使用加密令牌来验证用户的身份。与传统的用户名和密码相比，令牌认证提供了一个额外的安全层，可以更有效地保护用户的数据。

简单来说，令牌就像是一张通行证。当你成功登录一个系统后，系统会给你颁发一个独特的令牌。这个令牌包含了你的身份信息，但它不是明文，而是经过加密的。在后续的请求中，你只需要携带这个令牌，系统就能识别你的身份，而不需要你每次都重新输入密码。

用户登录： 用户输入用户名和密码进行登录。
服务器验证： 服务器验证用户的身份信息。
颁发令牌： 如果验证通过，服务器会生成一个令牌，并将其发送给客户端。
客户端存储： 客户端将令牌存储起来，通常存储在本地存储或 cookie 中。
后续请求： 客户端在后续的请求中将令牌包含在请求头中。
服务器验证令牌： 服务器验证令牌的有效性，如果验证通过，则允许用户访问资源。

API 接口认证：保护 API 接口的安全，防止未授权访问。

单点登录：用户只需登录一次，即可访问多个系统。

移动应用认证：保护移动应用的数据安全。

JWT（JSON Web Token）：一种常用的令牌格式，它是一个自包含的、安全的、基于 JSON 的令牌。

OAuth 2.0：一种授权框架，它允许第三方应用代表用户访问用户的资源。

SAML（Security Assertion Markup Language）：一种基于 XML 的标准，用于在不同的安全域之间交换身份认证和授权数据。

JWT (JSON Web Token) 是一种开放标准（RFC 7519），用于在网络上安全地传输信息的简洁、自包含的方式。它通常被用于身份验证和授权机制。

形象地说，JWT 就像是一张通行证。当用户登录成功后，服务器会签发给用户一张通行证（即 JWT），这张通行证包含了用户的一些基本信息，比如用户 ID、用户名、角色等。用户在后续的请求中，只需携带这张通行证，就可以证明自己的身份，而不需要每次都重新登录。

一个 JWT 实际上是一个字符串，它由三部分组成，并用点（.）分隔：

头部（Header）：包含了 metadata，比如 token 的类型（JWT）和所使用的签名算法。

载荷（Payload）：包含了声明，例如，用户的 ID、用户名、以及过期时间等。

签名（Signature）：签名是对前两部分内容的签名，用于验证消息的完整性。

解析 Web 开发中的几种认证方法及应用场景

OAuth 2.0 是一种授权框架，允许第三方应用程序在用户授权的情况下，访问用户在其他服务提供商（如 Google、Facebook）上的受保护资源。简单来说，就是让第三方应用能够代表用户执行一些操作，而无需直接获取用户的密码。

举个例子：当你使用微信登录一个网站时，这个网站就是第三方应用，它通过 OAuth 2.0 向微信申请授权，获取你的部分个人信息，从而让你不用重新注册就可以登录这个网站。

用户授权： 用户在客户端上发起授权请求，客户端将用户重定向到授权服务器。
授权服务器验证： 授权服务器验证用户的身份。
用户同意： 用户同意授权客户端访问其资源。
授权服务器颁发授权码： 授权服务器颁发一个授权码给客户端。
客户端获取访问令牌： 客户端使用授权码向授权服务器请求访问令牌。
授权服务器颁发访问令牌： 授权服务器验证授权码后，颁发访问令牌给客户端。
客户端访问资源： 客户端使用访问令牌向资源服务器请求资源。
资源服务器验证： 资源服务器验证访问令牌的有效性，如果验证通过，则返回资源给客户端。

解析 Web 开发中的几种认证方法及应用场景

API Key 就像一个专门用来开启某个“特定房间”的钥匙，这个“特定房间”就是 API，一个允许两个不同应用程序交流的桥梁。它是一个唯一的字符串，用于标识和验证 API 的用户。

当客户端向 API 发送请求时，需要在请求头中包含 API Key，以证明其有权访问该 API。服务器端收到请求后，会验证请求头中的 API Key 是否与存储在服务器端的密钥副本匹配，如果匹配，则认为请求是合法的，否则请求将被拒绝。

API Key 认证的实现通常遵循以下步骤：

生成 API Key：服务提供者为用户生成一个唯一的 API Key，这个 Key 需要保密，不应在网络上明文传输。
构建请求：客户端在发送请求时，需要在请求头或请求体中加入 API Key。有时，为了增强安全性，还会结合其他信息（如请求的时间戳、请求路径等）生成一个签名，并将签名一同发送到服务器。
验证 API Key：服务器收到请求后，会验证请求头中的 API Key 或签名的有效性。如果 API Key 匹配或签名验证通过，则认为请求是合法的，否则请求将被拒绝。