如果您使用SSL，還需要使用摘要式身份驗證嗎？

Question

這可能是一個愚蠢的問題，但我可以安全地使用基本HTTP認證嗎？或者即使服務器已經在SSL上，我是否仍然受益於摘要認證？

Answer 1

你會使用SSL之上的HTTP摘要式身份驗證獲得的唯一好處/ TLS是爲了防止用戶密碼泄露到服務器本身，如果你的服務器能夠直接與密碼被配置在"HA1 format"（即如果它不需要知道密碼本身，但用戶密碼可以配置爲MD5（用戶名：realm：密碼），而不需要密碼清晰，例如參見Apache Httpd）。

實際上，這並不是一個很大的優勢。如果需要從服務器保護密碼本身，則有更好的選擇（特別是因爲現在MD5不夠好）。

SSL摘要認證（over form/HTTP Basic）的其他功能已由SSL/TLS層提供。

Answer 2

通過ssl基本認證對於大多數需求來說足夠安全。