Web API 保护了多少基于令牌的身份验证 [关闭]答案

【问题标题】：How much token based auth is secured for Web API [closed]Web API 保护了多少基于令牌的身份验证 [关闭]
【发布时间】：2015-05-13 20:12:33
【问题描述】：

基于令牌的身份验证是这样工作的

基于令牌的身份验证系统背后的一般概念很简单。允许用户输入他们的用户名和密码以获得允许他们获取特定资源的令牌 - 无需使用他们的用户名和密码。一旦获得了他们的令牌，用户就可以向远程站点提供令牌 - 它提供对特定资源的一段时间内的访问权限。

这如何被认为是安全的，因为当服务器向客户端发出令牌时，任何黑客都可以在中间窃取该令牌并作为有效客户端出现在服务器面前。那么告诉我如何生成防盗令牌？

讨论令牌如何在服务器和客户端之间来回传递非常安全的方式，这样中间人就无法破解。

【问题讨论】：

【解决方案1】：

如果连接本身经过身份验证和加密是安全的，这就是 HTTPS 的用途。

使用有效证书进行身份验证可确保用户连接并将其凭据（密码或令牌）发送到的服务器是他们期望获得的服务器（...至少只要证书颁发机构值得信赖）。

加密确保监听流量的人无法看到任何秘密。

【讨论】：

所以你的意思是说如果我们使用 HTTPS 而不是 HTTP，那么令牌将是安全的。说出于任何原因我们不能使用 HTTPS 那么我们如何保护令牌免受邪恶之眼呢？有什么解决办法吗？
如果您不想使用 HTTPS，您必须想出另一种身份验证和加密实现。但是制作安全的密码系统很困难，因此最好尽可能坚持经过验证的标准。