iT邦幫忙

1

HTTP Token 使用方式: Basic Token v.s Bearer Token

前言

在Auth的過程,很常會看到Basic、Bearer 型態的Token,而是用的場景不太一樣。Basic用在存取一個網站、網域的時候,Bearer則是用於存取Protect Resource 的時候。

Token 怎麼使用?

一般來說是在HEADER中使用Authorization的並帶入存取的Token,如Basic、Bearer等type 的Token。

  • Authorization Header Example
# Unauthorized Response
GET / HTTP/1.1 

# Authorized Query
GET / HTTP/1.1 
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Basic Token

作為HTTP最基本的認證方式,使用明碼的方式進行傳輸 password、user_id。設計面並未考慮到TLS認證,以明碼的方式傳送 password、user_id。

一般來說,在存取資Server的時候,需要預先帶入Token,然而若未能成功驗證通過時,Response 則會回應相關的資訊,帶有WWW-Authenticate HEADER,並帶有Realm (Protection Space)資訊。

Key words:

  1. Realm(Protection Space): Token有效的網域。
  2. charset: 用於設定schema 的編碼,只能允許utf-8一種

Bearer Token

是以HTTP 1.1 TLS下去定義的 Token,因此使用Bearer必須具備TLS環境。延續使用Basic Token 的WWW-Authenticate、Authorization HEADER,而 proxy authentication 不延續使用。

使用Token的方式:

  1. 使用Authorization HEADER:
    Ex: Authorization: Bearer QWxhZGRpbjpvcGVuIHNlc2FtZQ==
  2. 使用Form Body:
    不建議將Token加入Body,使用時 並使用GET 之外的 HTTP verbs (POST、DELETE、PUT)
    HEADER: Content-Type: "application/x-www-form-urlencoded"
  3. 直接使用在URI :
    一般來說不會使用這種方法,除非是Authorization header不支援,或者protect resource 支援該方法。
    Ex: GET /resource?access_token=mF_9.B5f-4.1JqM HTTP/1.1

Token Response Error

使用Token時,當HTTP Response Status code 為200時代表成功,然而當失敗的時候則會出現4XX的Status code。

Basic Token: 當授權為「不」通過時,回傳401 code並告知哪個 Protect Scope 錯誤。

  • Basic Token Error Example
HTTP/1.1 401 Unauthorized
Date: Mon, 04 Feb 2014 16:50:53 GMT
WWW-Authenticate: Basic realm="WallyWorld"

Bearer Token: 當授權為「不」通過時,回傳400、401、403 code,並根據狀況回傳對應的錯誤。

Error Type 說明
invalid_request Response 400 error code,表示Request 缺少參數或者多了一些參數等錯誤
invalid_token Response 401 error code,表示Token 錯誤,通過不了認證
invalid_scope Response 403 error code,表示Token無權存取該Protect Resource
  • Bearer Token Error Example
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer realm="example",
                  error="invalid_token",
                  error_description="The access token expired"

總結

Basic Token 主要還是使用在網域上的防護(Realm),而Bearer則是針對protect resource的存取,主要還是使用在Auth 2.0 上頭,且一定要在TLS環境(HTTPS)使用

參考資料

[1] The 'Basic' HTTP Authentication Scheme
[2] The OAuth 2.0 Authorization Framework: Bearer Token Usage
[3] Basic Authentication


尚未有邦友留言

立即登入留言