如何在 rest api 中验证/检查基本身份验证标头

Question

我正在构建一个非常小的 API。 在 api 中，我使用来自请求的基本身份验证标头对请求进行身份验证。 这是我已经完成的代码

$headers = apache_request_headers() ;
//  print_r($headers);
if(isset($headers['Authorization'])){
        //$credentials = base64_decode($headers);
        print_r($headers['Authorization']);
}

我的授权标头是“Basic YXBpa2V5OmFqZWVzaA==”现在我将如何检查这个基本授权标头是否有效？ 我应该以用户名：密码格式解码base64字符串并使用数据库进行检查，还是在生成用户名和密码时，我是否必须将其存储为base64格式并将请求base64字符串与数据库中的字符串进行比较？

我想知道验证基本身份验证请求的标准做法是什么？

请提出一些想法。我刚刚开始，请原谅我的愚蠢问题。

Answer 1

我建议您使用 api 令牌而不是用户/密码组合。使用简单的身份验证令牌，您可以获得两个好处。

1. 用户名或密码可能会随着时间而改变，如果是这样，用户必须更改其应用程序中的所有用户名和密码才能使应用程序恢复工作。一个简单的令牌是不变的，当用户的用户名和密码改变时不需要任何改变。

2. 使用基本身份验证，客户端需要以未加密格式发送用户名 + 密码。这不是很安全，在最坏的情况下，未经授权的用户可以使用请求中的用户名 + 密码登录服务后端。简单令牌仅对 api 调用有效。

---

为每个 API 用户生成一个简单的随机令牌，如 Eq57dwypZaFW4f2xxRzFaGjwCYinOn6l13Mvds00P2ZzgdMPTk，并要求在每个 api 请求上发送此令牌，请求标头如

X-API-TOKEN: Eq57dwypZaFW4f2xxRzFaGjwCYinOn6l13Mvds00P2ZzgdMPTk
X-API-CLIENT-ID: 123456

在服务器端验证

<?php

$token = $_SERVER['X-API-TOKEN'];
$userID = $_SERVER['X-API-CLIENT-ID']; 
$isValid = $findInDatabase->findToken($userID, $token);

if( $isValid )
{
    // process api request
} else {
    // invalid token
}