第2章 HTTP基本认证：Basic Auth
深入理解 Basic Auth 原理、Base64 编解码、优缺点、应用场景与安全风险。
2.1 Basic Auth 原理
HTTP 基本认证（Basic Authentication）是 HTTP 协议中最简单的认证方式。客户端在请求头中携带 Authorization: Basic <credentials>，其中 credentials 是 用户名:密码 经过 Base64 编码后的字符串。
服务端收到请求后，解码 Base64 字符串，提取用户名和密码，与存储的凭证进行比对。若匹配则返回资源，否则返回 401 Unauthorized 并携带 WWW-Authenticate: Basic realm="..." 响应头。
2.2 Base64 编码与解码
Base64 是一种将二进制数据转换为可打印 ASCII 字符的编码方式，常用于在 HTTP 头中传输非 ASCII 数据。它使用 64 个字符（A-Z, a-z, 0-9, +, /）以及填充符 =。
编码示例：
输入: admin:secret
Base64 编码: YWRtaW46c2VjcmV0
解码后: admin:secret注意：Base64 编码后的字符串长度约为原始数据的 4/3 倍，且每 76 个字符可插入换行符（MIME 规范）。
2.3 Basic Auth 的优缺点
✅ 优点
- 实现简单：无需 Cookie、Session 或复杂握手，仅需 HTTP 头。
- 广泛支持：所有浏览器、HTTP 客户端、服务器均原生支持。
- 无状态：服务端无需存储会话，适合简单 API 或测试环境。
- 低开销：无需额外的 Token 刷新或状态管理。
❌ 缺点
- 明文传输（仅编码）：Base64 可逆，未加密时等同于明文密码。
- 必须搭配 HTTPS：否则密码极易被中间人截获。
- 无法精细授权：仅验证身份，无角色或权限粒度。
- 难以注销：除非更改密码，否则凭证长期有效。
- 浏览器缓存问题：浏览器会缓存凭证，容易造成 CSRF 或误用。
2.4 实际应用场景
| 场景 | 说明 |
|---|---|
| 内部 API / 微服务 | 内网环境，配合 HTTPS，用于简单的服务间认证。 |
| 开发测试环境 | 快速验证接口，无需复杂 OAuth 流程。 |
| IoT 设备 | 资源受限设备，Basic Auth 实现轻量认证。 |
| WebDAV / 管理后台 | 部分旧系统或管理控制台使用 Basic Auth 保护。 |
| 一次性脚本 / 自动化 | curl 或 wget 等工具直接使用 -u user:pass。 |
2.5 安全风险与防护
Basic Auth 的主要安全风险包括：
- 中间人攻击（MITM）：未使用 HTTPS 时，攻击者可截获 Base64 编码的凭证并解码。
- 重放攻击：凭证在有效期内可被重复使用，除非加入时间戳或一次性 nonce。
- 浏览器凭证存储：浏览器自动填充并发送凭证，可能被 XSS 或 CSRF 利用。
- 弱密码爆破：由于无速率限制，攻击者可暴力破解。
防护建议：
- 始终使用 HTTPS 加密传输。
- 结合 IP 白名单 或 API 密钥 增加安全性。
- 避免在浏览器端使用 Basic Auth 保护敏感资源。
- 实施 速率限制 和 账户锁定 机制。
- 考虑使用 Digest Authentication 或 Bearer Token 替代。