Kas yra Bearer Token?
A Bearer Token yra prieigos raktas, naudojamas OAuth 2.0, kad būtų leista pasiekti apsaugotas išteklius. Šis straipsnis paaiškina Bearer Token sąvoką, naudojimą ir saugos aspektus API autentifikacijoje.
Supratęs "Bearer" žetonus
"Bearer" žetonas yra vienas iš prieigos žetonų, naudojamų OAuth 2.0 autentifikavimo sistemoje, skirtas suteikti prieigą apsaugotoms resursams. "Bearer" žetonai yra išduodami autorizacijos serverio ir įtraukiami į HTTP užklausas, kad būtų patvirtintas klientas, kuris pateikė užklausą.
Kaip veikia "Bearer" žetonai
Kai klientas nori pasiekti apsaugotą resursą, jis siunčia užklausą autorizacijos serveriui, kad gautų "Bearer" žetoną. Šis žetonas tada yra įtraukiamas į Autorizacijos antraštėje esančią sekantį HTTP užklausą:
Autorizacija: Bearer <žetonas>Serveris patikrina žetoną, kad įsitikintų, jog klientas turi teisę pasiekti resursą.
"Bearer" žetono gavimas
Norėdami gauti "Bearer" žetoną, klientas pirmiausia turi autentifikuotis su autorizacijos serveriu, paprastai naudodamas prisijungimo duomenis, tokiais kaip vartotojo vardas ir slaptažodis arba kliento ID ir slaptas raktas. Sėkmingai autentifikuotas, serveris išduoda "Bearer" žetoną.
"Bearer" žetonų saugumo aspektai
"Bearer" žetonai yra paprastas ir efektyvus būdas valdyti prieigos kontrolę, tačiau jie turi saugumo reikalavimus:
Žetono galiojimo laikas
"Bearer" žetonai paprastai turi galiojimo laiką. Užtikrinant, kad žetonai turi ribotą gyvenimą, sumažinamas neleistino prieigos prie resurso rizika, jei žetonas būtų kompromituotas.
Žetono saugojimas
Klientai turi saugiai saugoti "Bearer" žetonus, kad būtų išvengta neleistino prieigos. Žetonai niekada neturėtų būti įkoduoti tiesiogiai į aplikaciją.
HTTPS naudojimas
"Bearer" žetonai visada turėtų būti perduodami per HTTPS, kad būtų apsaugoti nuo gaudymo priešininkų.
Žetono atšaukimas
Įgyvendinus žetono atšaukimo mechanizmus, serveriai gali negaliojantys žetonus panaikinti, jei yra įtariami, kad jie buvo kompromituoti.
"Bearer" žetonų naudojimo atvejai
"Bearer" žetonai yra plačiai naudojami įvairiose situacijose:
API prieiga
"Bearer" žetonai dažnai naudojami autentifikuojant API užklausas, užtikrinant, kad priešingai neišduotas klientas gali pasiekti apsaugotus galutinius taškus.
Vieno prisijungimo (SSO) sistema
"Bearer" žetonai palengvina vi