ユーザー基本認証なしのHTTPログイン

Question

したがって、認証ヘッダーを使用せずにこのログインシステムを設定しました。代わりに、私はHTTPリクエストの本文を介してデータを転送し、そのデータを確認してから、ユーザーに個人アカウントへのアクセスを許可します。アイデアはモバイルでアクセスできるAJAXのフレンドリーなAPIを作成することでした。

ヘッダー経由で認証を提供しないことで何か問題はありますか？

Answer 1

私はこのアプローチで考えられる問題を見ています。

あなたのウェブサイトにXSSの脆弱性があるとしましょう。セッションIDを持つ認証Cookieがある場合、HTTPのみとしてフラグを立てることができ、攻撃者はjavascriptを介してそのセッションIDを取得することができません。しかし、HTML本体にその情報を格納しているので、攻撃者は完全にアクセス可能です。彼は身体からその情報を取得し、悪意のあるサーバーに送信し、実行するだけで、ユーザーを偽装することができます。

クッキーを作成しないようにしたのは、主にモバイルネイティブアプリケーションにCookieがないためです。OAuthをご覧ください。これにより、生成するトークンを使用してユーザーを認証することができ、その寿命について完全な制御が可能になります。 APIコンシューマはトークンを要求するだけで済みます。その後、トークンを送信して認証リクエストを送信する必要があります（そのトークンが期限切れになるまで、新しいトークンをリクエストする必要があります）。