rest - API 令牌认证 - 安全问题

Question

对于任何服务的基于令牌的身份验证，首先我们必须在请求中发送用户名/密码。这不会导致安全问题吗？我们如何克服传递用户名/密码的安全问题？

标签： restapiasp.net-web-api

Answer 1

包含用户名和密码的初始请求并不比后续请求更安全或更不安全，后续请求将携带某种令牌。这个问题的解决方案，实际上是通过网络发送任何类型的信息，是使用两种方式的 SSL/HTTPS。使用 HTTPS，发送的信息在客户端计算机上被加密，然后（理论上）只有服务器能够读取其中包含的内容。因此，发送纯文本用户名和密码可能看起来不安全，但如果使用 HTTPS，那么实际上它是安全的。