将授权标头从服务器发送到客户端是否安全？答案

【问题标题】：Is it safe to send authorization header from a server to client?将授权标头从服务器发送到客户端是否安全？
【发布时间】：2015-07-06 14:34:42
【问题描述】：

我正在设置一个新应用。一切都是通过非HTTPS。只是 HTTP。无论如何，在用户登录后，服务器会向客户端发送一个不错的 200，这是：

{
"user": {
    "_id": "5595bb294cbed176e7594e79",
    "username": "ckent1000",
    "email": "clarkcando@gmail.com",
    "roles": {
        "account": {
            "id": "5597089bbde23bf2179dba46",
            "name": "superman"
        }
    }
},
"session": {
    "userId": "5595bb294cbed176e7594e79",
    "key": "6c5c2ed4-77f9-4038-b175-e9fb927c1b22",
    "time": "2015-07-06T14:31:58.175Z",
    "_id": "559a915e53723a85eaf75ea9"
},
"authHeader": "Basic NTU5YTkxNWU1MzcyM2E4NWVhZjc1ZWE5OjZjNWMyZWQ0LTc3ZjktNDAzOC1iMTc1LWU5ZmI5MjdjMWIyMg=="

}

很酷吗？我的智慧表明，这不是因为这是通过 HTTP 进行的。

【问题讨论】：

标签： security http https basic-authentication

【解决方案1】：

HTTP 基本身份验证以明文方式传输凭据（即任何可以访问数据包的人都可以读取，无论是在传输过程中还是稍后）。它们采用 Base-64 编码进行传输，但这不提供机密性。

如果您计划使用基本身份验证，则必须保护您与 TLS 的通信。

【讨论】：

所以你的意思是，“不，它是加密的，所以你有它，但是......还是通过 SSL 发送它！”？
Base-64 不是加密。
哦，好的。我很高兴你告诉我。我需要更多地去谷歌，这几乎是一个糟糕的问题。谢谢你。