RFC2617鉴权 中文.docVIP

Network Working Group J. Franks Request for Comments: 2617 Northwestern University Obsoletes: 2069 P. Hallam-Baker Category: Standards Track Verisign, Inc. J. Hostetler AbiSource, Inc. S. Lawrence Agranat Systems, Inc. P. Leach Microsoft Corporation A. Luotonen Netscape Communications Corporation L. Stewart Open Market, Inc. June 1999 ? ? HTTP Authentication: Basic and Digest Access Authentication ? 备忘（Status of this Memo） 本文档跟踪记录Internet团体为完善协议而进行的讨论、建议。详情请参见官方文件（STD1）。本文可任意分发。 ? 版权声明（Copyright Notice） ? Copyright (C) The Internet Society (1999). All Rights Reserved. ? 摘要（Abstract） “HTTP/1.0”中包括基本访问鉴别方案（Basic Access Authentication scheme）。该方案不是安全的用户授权方法（除非与其它安全方法联合使用，如SSL[5]），因为其用户名和口令在网络上是以明文方式传送的。 本文档还提供了HTTP鉴别框架的规范，有关原始的基本鉴别方案和基于哈希加密的方案的内容，请参见分类访问鉴别（Digest Acccess Authentication）。从RFC2069公布以来，其中涉及的一些可选元素因为出现问题而被移出；而还有一些新的元素因为兼容性的原因而被加入，这些新元素虽然是可选的，但还是强烈建议使用的，因而，RFC2069[6]最终可能会被本规范所替代。 ? ? ? Franks, et al. Standards Track [Page 1]  与基本方式类似的是，分类鉴别授权对通讯双方都知道的秘密（如口令）进行校验；而与基本方式不同的是，该校验方式中的口令不以明文方式传输，而这正是基本方式的最大弱点。正象其它大多数授权协议那样，该协议最大的风险不在于其协议本身，而是它周边的应用程序。 ? 目录（Table of Contents） 1　访问鉴别（Access Authentication） 3 1.1 对HTTP/1.1规范的依赖（Reliance on the HTTP/1.1 Specification） 3 1