认证（Authentication）与授权（Authorization），以及Authorization中的Auth Type

Mr Nobody鞥

已于 2023-12-25 23:32:57 修改

阅读量2.2k

点赞数 17

CC 4.0 BY-SA版权

文章标签：网络安全

于 2023-12-13 00:24:18 首次发布

本文链接：https://blog.csdn.net/Chrisgin/article/details/134959597

本文详细解释了认证、授权的概念，介绍了API调用中的不同授权类型，包括Noauth、APIKey、BearerToken和OAuth1.0、OAuth2.0的工作原理，重点讨论了OAuth2.0的授权码和客户端模式实例。

认证（Authentication）

对某人身份信息的确认，通过某一凭证确认得知 “某人是谁！”
例：用户名/用户ID和密码

授权（Authorization）

当对某人完成身份确认后，获取某人能够访问资源的权限
例：信息、文件、数据等

API调用过程中有那些授权类型

No auth
请求不需要授权，无身份验证
API key
使用 API 密钥身份验证，即在请求标头或查询参数中将键值对发送到 API。
API Key是API的密钥，是访问API或网站的必要条件之一，它通常用于防止未经授权的访问。
Key ID：这是API Key的唯一标识符，用于在请求中识别特定的API Key。
Key Value：这是实际的API Key值，通常是一个长字符串，用于验证请求的来源。
Bearer Token
Bearer token允许使用例如JSON Web Token (JWT)的访问秘钥。
Bearer token常用于API的身份验证和授权，其中可能会包含用户的登录信息（如用户名、有效时间）。
服务器接收到请求后，验证用户的登录信息是否有效。如果登录信息有效，用户无需客户端多次登录才能访问不同的API资源。Bearer token的主要优点是简单易用、轻量级且易于集成到各种应用程序中。
JWT bearer
可以在Postman的编辑器中输入有效的payload，生成的JWT可以被添加到请求的header或query parameter中。
- 其中用于JWT Token的算法：
  - HS - HMAC with SHA
  - RS - RSA (RSASSA-PKCS1-v1_5) with SHA
  - ES - ECDSA with SHA
  - PS - RSA (RSASSA-PSS) with SHA
- Secret - 与 HMAC-SHA 算法一起使用的Secret
- Base64 编码
- Payload - 以 JSON 格式输入 JWT 令牌的有效负载数据
Basic auth
在用户名和密码字段中输入您的 API 用户名和密码
在headers中向 API 传递一个表示用户名和密码值的 Base64 编码字符串，形式是：

Basic <Base64 encoded username and password>

OAuth 1.0
OAuth1.0定义了三种角色：User、Service Provider、Consumer

 +----------+                                           +----------+
 |          |--(A)- Obtaining a Request Token --------->|          |
 |          |                                           |          |
 |          |<-(B