Rest API Basic Authentication

Question

Как это нормально, если сервер возвращает ключ API и общий секретный ключ, когда клиент пытается войти в API через базовую аутентификацию? Например, если пользователь вводит эту ссылку http://api.example.com/authorize?auth=some_encoded_Base64_string, ответ будет:

Content-Type: application/xml 
Date: Fri, 10 Nov 2006 20:04:45 GMT  
Transfer-Encoding: chunked 
Authorization: apiKey;secretKey 

Будут ли у меня проблемы с помощью этого метода? Я хотел бы быть таким, поскольку основные методы API будут принимать только хеши APIKey и, чтобы получить, что им необходимо использовать базовую аутентификацию, поскольку они являются первым шагом. На данный момент я не буду использовать OAuth.

Я пытаюсь использовать новый веб-API ASP.NET для этого проекта.

Answer 1

HTTP не определяет заголовок Authorization в ответе, поэтому, если вам нужно определить пользовательский заголовок, используйте префикс X-.

Также из точки проектирования HTTP-заголовки должны передавать данные, которые являются ортогональным для вызова. Кажется, вы пытаетесь передать часть данных, которые должны быть в полезной нагрузке, поэтому я бы воздержался от использования заголовков.

Я бы передал эти данные в полезной нагрузке.

Если вы используете SSL и передаете данные в URL, HTTP-заголовках или полезной нагрузке, это будет безопасно.