基本HTTP认证有什么优点和缺点

Question

我已经创建了一个使用Basic HTTP认证的REST API。仅限于SSL。现在它已经实现了，我听到了基于SSL的基本HTTP不安全的批评。这对我来说“停止媒体报道”是不利的，这将超出我的一些客户使用OAuth技能的范围，我需要了解这种方法的风险和回报。任何使用基本HTTP认证的大名字的例子都会对支持也有帮助。

Answer 1

通过SSL的基本HTTP认证基本上是安全的，有注意事项。安全问题主要来自使用基本验证码而没有 SSL，在这种情况下，用户名和密码将暴露给MITM。在浏览器中，还存在过期凭证的问题，但这对于REST服务并不是什么问题。

Answer 2

也许我误导了，但我没有看到SSL只有BASIC的问题......尤其是，而不是使用无状态的API。
如果呼叫者被迫使用SSL嗅探代理，那么BASIC意味着密码以明文形式提供给代理...在这个特定情况下，摘要会更好（即使使用SSL），因为代理不会知道密码（摘要意味着挑战反应......）。