Apache基本身份验证

如果这是一个明显的问题，我很抱歉，为了保护网站，可以信任Apache 2.0 + SSL +基本身份验证吗？我看到它的方式是，SSL在客户端和服务器之间创建安全连接，因此任何包含明文密码的HTTP请求都不应该成为安全问题。Apache基本身份验证

感谢， S.

来源

2009-10-27 S.D

你是正确的，基本身份验证是安全的，只要你能保证连接的端至端加密。这意味着您必须将服务器配置为强制SSL使用，方法是将HTTP请求重定向到HTTPS，或者完全不接受该URL的未加密连接。

来源

2009-10-27 14:21:15

感谢吉姆的SSL级别吉姆的回答是不够好，原来我很遗憾必须使用基于会话的身份验证，因为我必须能够注销用户。 –

你应该仍然强制SSL。同样的注意事项适用于基于表单的身份验证，因为必须传输密码。 –

您可以使用基本身份验证，类型来注销用户。这不是非常漂亮，Apache没有任何内置的方法来实现它。你需要做的是发布到'/ logout'脚本，当用户传递* correct * auth时返回401。然后您要求用户向auth对话提交错误的详细信息（通常是空的用户名/密码）。您的脚本会响应200或303，此时浏览器会转储正确的身份验证以支持非身份验证。 – bobince

“唯一的完全安全的计算机是一个被拔掉，关掉”

这就是说，如果你接受安全:)

来源

2009-10-27 14:27:31 DVK

Apache基本身份验证

回答

相关问题