我想知道JWT令牌最合適的AuthorizationHTTP標頭類型是什么。可能是最受歡迎的類型之一Basic。例如：Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==它處理兩個參數，例如登錄名和密碼。因此，它與JWT令牌無關。另外，例如，我聽說了Bearer類型：Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ但是，我不知道它的含義。與熊有關嗎？在HTTP Authorization標頭中是否有使用JWT令牌的特定方法？我們應該使用Bearer還是應該簡化并僅使用：Authorization: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ謝謝。編輯：或者，也許只是一個JWTHTTP標頭：JWT: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
2 回答
富國滬深
TA貢獻1790條經驗 獲得超9個贊
簡短答案
該Bearer認證方案是你在找什么。
長答案
與熊有關嗎？
Errr ... No :)
根據牛津字典，這是不記名的定義：
持票人 / ?b??r? /
名詞
攜帶或持有某物的人或物
出示支票或其他命令付款的人。
第一個定義包括以下同義詞：Messenger，Agent，傳送帶，Emissary，Carrier，Provider。
這是根據RFC 6750的承載令牌的定義：
1.2。術語
不記名令牌
具有該令牌的任何一方（“承載者”）可以以任何其他任何擁有它的方可以使用的方式使用該令牌的屬性的安全令牌。使用承載令牌不需要承載者證明擁有加密密鑰材料（資產證明）。
該Bearer認證方案登記在IANA和最初定義的RFC 6750的的OAuth 2.0授權框架，但沒有阻止你使用Bearer的訪問令牌方案在不使用OAuth 2.0的應用程序。
盡可能遵守標準，并且不要創建自己的身份驗證方案。
必須Authorization使用Bearer身份驗證方案在請求標頭中發送訪問令牌：
2.1。授權請求標頭字段
當在AuthorizationHTTP / 1.1定義的請求標頭字段中發送訪問令牌時，客戶端使用Bearer身份驗證方案來傳輸訪問令牌。
例如：
GET /resource HTTP/1.1
Host: server.example.com
Authorization: Bearer mF_9.B5f-4.1JqM
[...]
客戶端應使用Authorization帶有BearerHTTP授權方案的請求標頭字段，使用承載令牌發出經過身份驗證的請求。[...]
如果令牌無效或丟失，則該Bearer方案應包含在WWW-Authenticate響應頭中：
3. WWW身份驗證響應頭字段
如果受保護的資源請求不包括身份驗證憑據或不包含啟用對受保護資源的訪問的訪問令牌，則資源服務器必須包含HTTP WWW-Authenticate響應頭字段。
本規范定義的所有挑戰都必須使用auth-scheme值Bearer。此方案必須跟隨一個或多個auth-param值。[...]。
例如，響應未經身份驗證的受保護資源請求：
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer realm="example"
并使用過期的訪問令牌響應身份驗證嘗試的受保護資源請求：
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer realm="example",
error="invalid_token",
error_description="The access token expired"
- 2 回答
- 0 關注
- 877 瀏覽
添加回答
舉報
0/150
提交
取消