使用HTTPS进行客户端 - 服务器通信

Question

我想使用HTTPS来保护我的客户端和服务器之间的通信。第一次加密通信将用于认证用户 - 即检查他/她的用户名和密码。

用户凭证将成功由服务器检查后，我想开始在后续请求中获取一些数据。但是服务器将如何确定后续请求是由用户发送的，而用户的凭证已被检查？

由于TCP连接可能在登录和后续HTTPS请求之间关闭，（我认为）这意味着SSL上下文必须由服务器释放，所以通过新的GET请求，必须建立新的TCP连接并新的SSL（TLS）握手必须完成（即加密的新共享密码必须由双方交换等）

为此，我认为服务器需要发送回客户端200 OK响应初始身份验证请求会随机生成一些随机生成的随机数（在某个时间内有效），我将在随后的每个请求中包含该数据，以便服务器能够基于此随机生成的随机数检测哪个用户名位于请求后面，检查该用户是否已经登录我的理解是否正确？

非常感谢您的答复 BR 斯登

Answer 1

最简单的方法是，要求所有通信通过HTTPS去（这样的数据是保密的，不是客户端的其他人，服务器可以看到它）和对该安全连接中的每个请求使用简单的用户名和密码。这在实践中很简单（用户名和密码实际上是通过HTTP头进行连接的，因为我们使用的是HTTPS），并且服务器每次都可以检查允许用户被允许使用。您不必担心SSL握手;这就是SSL/HTTPS层的责任（这就是为什么HTTPS/SSL是不错）。

或者，登录可以用任何方法完成，并生成存储在会话cookie中的某种幻数（例如，UUID或随机数和用户名的密码散列）。随后的请求可以检查幻数是否可以从会话开始时识别出来（并且自从发布后没有太多时间）;注销只是忘记了服务器端的神奇数字（并要求客户忘记）。实现这一点还有一些工作要做，但仍然不难，服务器端有库来处理驴工作。

第一个选项特别适合您写程序的地方，因为它很容易实现。如果客户端是网页浏览器，第二种选择更好，因为它允许用户更好地控制浏览器授权的时间（程序API不需要这样的事情）。无论客户何时成为浏览器，您都需要注意防范其他类型的攻击（例如，各种类型的请求伪造），但这几乎与其他任何事情无关。

Answer 2

在你的案例中发明自定义认证机制是非常危险的 - 很容易犯一个错误，会让很多错误的做法。因此，正确的做法就像使用HTTPS并在每个请求中传递用户凭证一样。