前言

在Auth的過程，很常會看到Basic、Bearer 型態的Token，而是用的場景不太一樣。Basic用在存取一個網站、網域的時候，Bearer則是用於存取Protect Resource 的時候。

From personal blog

Token 怎麼使用？

一般來說是在HEADER中使用Authorization的並帶入存取的Token，如Basic、Bearer等type 的Token。

• Authorization Header Example

# Unauthorized Response
GET / HTTP/1.1 

# Authorized Query
GET / HTTP/1.1 
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Basic Token

作為HTTP最基本的認證方式，使用明碼的方式進行傳輸 password、user_id。設計面並未考慮到TLS認證，以明碼的方式傳送 password、user_id。

一般來說，在存取資Server的時候，需要預先帶入Token，然而若未能成功驗證通過時，Response 則會回應相關的資訊，帶有WWW-Authenticate HEADER，並帶有Realm (Protection Space)資訊。

Key words:

1. Realm(Protection Space): Token有效的網域。
2. charset: 用於設定schema 的編碼，只能允許utf-8一種

Bearer Token

是以HTTP 1.1 TLS下去定義的 Token，因此使用Bearer必須具備TLS環境。延續使用Basic Token 的WWW-Authenticate、Authorization HEADER，而 proxy authentication 不延續使用。

使用Token的方式:

1. 使用Authorization HEADER:
   Ex: Authorization: Bearer QWxhZGRpbjpvcGVuIHNlc2FtZQ==
2. 使用Form Body:
   不建議將Token加入Body，使用時 ，並使用GET 之外的 HTTP verbs (POST、DELETE、PUT)
   HEADER: Content-Type: "application/x-www-form-urlencoded"
3. 直接使用在URI :
   一般來說不會使用這種方法，除非是Authorization header不支援，或者protect resource 支援該方法。
   Ex: GET /resource?access_token=mF_9.B5f-4.1JqM HTTP/1.1

Token Response Error

使用Token時，當HTTP Response Status code 為200時代表成功，然而當失敗的時候則會出現4XX的Status code。

Basic Token: 當授權為「不」通過時，回傳401 code並告知哪個 Protect Scope 錯誤。

• Basic Token Error Example

HTTP/1.1 401 Unauthorized
Date: Mon, 04 Feb 2014 16:50:53 GMT
WWW-Authenticate: Basic realm="WallyWorld"

Bearer Token: 當授權為「不」通過時，回傳400、401、403 code，並根據狀況回傳對應的錯誤。

• Bearer Token Error Example

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer realm="example",
                  error="invalid_token",
                  error_description="The access token expired"

總結

Basic Token 主要還是使用在網域上的防護(Realm)，而Bearer則是針對protect resource的存取，主要還是使用在Auth 2.0 上頭，且一定要在TLS環境(HTTPS)使用

參考資料

[1] The 'Basic' HTTP Authentication Scheme
[2] The OAuth 2.0 Authorization Framework: Bearer Token Usage
[3] Basic Authentication