Basic Auth Başlığı Oluşturucu

HTTP Basic kimlik doğrulaması nasıl çalışır

Basic kimlik doğrulaması RFC 7617'de tanımlanmıştır. Korunan bir kaynak istendiğinde sunucu 401 Unauthorized durum koduyla ve bir WWW-Authenticate: Basic realm="..." başlığıyla yanıt verir. İstemci ardından kullanıcı adını ve parolayı iki nokta ile birleştirir, sonucu Base64 ile kodlar ve her istekle birlikte gönderir:

Authorization: Basic base64(username ":" password)

# RFC 7617'deki örnek: kullanıcı "Aladdin", parola "open sesame"
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

Tarayıcılar bu alışverişi kendileri yönetir ve bir oturum açma penceresi gösterir; betikler ve API istemcileri ise genellikle sunucunun kimlik doğrulama talebini beklemeden başlığı ilk istekle birlikte gönderir. İki değeri birbirinden iki nokta ayırdığı için kullanıcı adı iki nokta içeremez; parola ise içerebilir. Sunucu, ASCII dışı kimlik bilgilerinin UTF-8 olarak beklendiğini bildirmek için kimlik doğrulama talebine charset="UTF-8" ekleyebilir.

Base64 şifreleme değildir

Başlık karmaşık görünür, ancak onu gören herkes bu sayfadaki çözücüyle veya herhangi bir Base64 kod çözücüyle parolayı saniyeler içinde elde edebilir. Basic kimlik doğrulaması yalnızca, başlığın aktarım sırasında TLS ile şifrelendiği HTTPS üzerinden kabul edilebilir. Ayrıca şunları unutmayın:

• kimlik bilgileri her istekle birlikte gönderilir, bu yüzden tek bir düz HTTP isteği bile onları açığa çıkarır;
• proxy'ler, yük dengeleyiciler ve hata ayıklama araçları, aksi belirtilmedikçe Authorization başlığını günlüğe kaydedebilir;
• tarayıcılar girilen kimlik bilgilerini kapatılana kadar hatırlar ve oturumu kapatmanın standart bir yolu yoktur.

Herkese açık API'ler için iptal edilebilir API token'ları veya OAuth daha uygundur. Basic kimlik doğrulaması; dahili araçlar, hazırlık (staging) siteleri ve TLS üzerinden yapılan sunucudan sunucuya çağrılar için makul bir seçenek olmaya devam eder.

Başlığı koddan gönderme

# curl başlığı kendisi oluşturur
curl -u 'user:password' https://api.example.com/

// JavaScript fetch (btoa yalnızca Latin-1 karakterlerini işler)
fetch(url, { headers: { Authorization: 'Basic ' + btoa('user:password') } })

# Python requests
requests.get(url, auth=('user', 'password'))

Kimlik bilgilerini https://user:password@host/ örneğindeki gibi URL'ye gömmekten kaçının. RFC 3986 bu biçimi kullanımdan kaldırmıştır; bu tür adresler tarayıcı geçmişine ve sunucu günlüklerine düşer ve modern tarayıcılar bu kullanımı kısıtlar.