Web API - HTTP标头中的身份验证凭证与SSL身份验证？

Question

我在HTTP Body中发送用户名和密码，用于验证controller action中的Web API。我使用用户名/密码在每个控制器中进行身份验证。它使用SSL。

是否有任何安全原因，为什么在HTTP Header中发送authentication credentials比在HTTP body中更好？

如果我正在使用Basic Authentication我可以看到如何在this question需要在头中的凭据，但我不是这样，我没有看到目的。只要它使用SSL就好像安全一样。

Answer 1

从SSL的角度来看，HTTP请求的标头（HTTP基本身份验证）或正文（例如基于表单的登录）中的凭证的安全性是相同的。

但是，如果客户是你应该考虑以下常规网络浏览器：

浏览器缓存，HTTP基本身份验证使用的凭据的用户通常遇到的执行了注销，他们将不得不关闭问题他们的浏览器

另一方面，基于表单的登录通常会创建一个时间受限的会话cookie，并且可以随时删除。