如果您使用SSL，还需要使用摘要式身份验证吗？

Question

这可能是一个愚蠢的问题，但我可以安全地使用基本HTTP认证吗？或者即使服务器已经在SSL上，我是否仍然受益于摘要认证？

Answer 1

你会使用SSL之上的HTTP摘要式身份验证获得的唯一好处/ TLS是为了防止用户密码泄露到服务器本身，如果你的服务器能够直接与密码被配置在"HA1 format"（即如果它不需要知道密码本身，但用户密码可以配置为MD5（用户名：realm：密码），而不需要密码清晰，例如参见Apache Httpd）。

实际上，这并不是一个很大的优势。如果需要从服务器保护密码本身，则有更好的选择（特别是因为现在MD5不够好）。

SSL摘要认证（over form/HTTP Basic）的其他功能已由SSL/TLS层提供。

Answer 2

通过ssl基本认证对于大多数需求来说足够安全。