常用认证机制有哪些 ＂常见的身份验证方式有哪些？＂

常用认证机制有哪些

为大家分享常用认证机制有哪些的话题，如有不对的地方欢迎指正！

1. HTTP Basic Auth

HTTP Basic Auth: 是一种简单的登录认证方式，Web浏览器或其他客户端程序在请求时提供用户名和密码，通常用户名和密码会通过HTTP头传递。

简单点说就是每次请求时都提供用户的username和password

这种方式是先把用户名、冒号、密码拼接起来，并将得出的结果字符串用Base64算法编码。

例如，提供的用户名是 bill 、口令是 123456 ，则拼接后的结果就是 bill:123456 ，然后再将其用Base64编码，得到 YmlsbDoxMjM0NTY= 。

最终将Base64编码的字符串发送出去，由接收者解码得到一个由冒号分隔的用户名和口令的字符串。

优点：

基本上所有流行的网页浏览器都支持基本认证。

缺点：

由于用户名和密码都是Base64编码的，而Base64编码是可逆的，所以用户名和密码可以认为是明文。

所以只有在客户端和服务器主机之间的连接是安全可信的前提下才可以使用。

2. Cookie-Session Auth

Cookie-session：认证机制是通过浏览器带上来Cookie对象来与服务器端的session对象匹配来实现状态管理。

第一次请求认证在服务端创建一个Session对象，同时在用户的浏览器端创建了一个Cookie对象；当我们关闭浏览器时，cookie会被删除。

但可以通过修改cookie 的expire time使cookie在一定时间内有效。

优点：

相对HTTP Basic Auth更加安全。

缺点：

这种基于cookie-session的认证使应用本身很难得到扩展，随着不同客户端用户的增加，独立的服务器已无法承载更多的用户，而这时候基于session认证应用的问题就会暴露出来。

3. OAuth

OAuth是一个关于授权（authorization）的开放网络标准。允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。现在的版本是2.0版。

严格来说，OAuth2不是一个标准协议，而是一个安全的授权框架。

它详细描述了系统中不同角色、用户、服务前端应用（比如API），以及客户端（比如网站或移动App）之间怎么实现相互认证。

OAuth流程如下图：

优点：