基于HTTP 协议认证介绍与实现（Nodejs版）

基于HTTP 协议认证介绍与实现（Nodejs版）

导言

我一直对HTTP的头部认证很感兴趣，尤其是那种在路由器上弹出对话框让用户输入账号密码的功能。最近，我翻阅了HTTP协议，发现这是RFC 2617的实现。因此，我决定写一篇文章来介绍HTTP的基本认证和摘要认证。

HTTP基本认证

HTTP基本认证是一种用于Web浏览器或其他客户端在请求时提供用户名和密码进行登录认证的方式。其实现非常简单：

1. 编码：将用户名追加一个冒号（:）接上密码，然后将结果字符串用Base64算法编码。
2. 请求头：在请求头中添加Authorization: Basic <编码后的字符串>。

举个例子，假设用户名为tom，密码为123456，则认证过程如下：

1. 编码：

   const crypto = require('crypto');
   const username = 'tom';
   const password = '123456';
   const authString = `${username}:${password}`;
   const encodedAuth = Buffer.from(authString).toString('base64'); // 输出: dG9tOjEyMzQ1Ng==
   

2. 请求头：

   GET / HTTP/1.1
   Host: localhost
   Authorization: Basic dG9tOjEyMzQ1Ng==
   

如果客户端没有提供认证信息，服务器会返回401 Unauthorized状态码，并在响应头中包含WWW-Authenticate: Basic realm="Users"。

以下是Node.js中的示例代码，演示如何实现基本认证：

const http = require('http');
const crypto = require('crypto');

const users = {
    tom: '123456'
};

const server = http.createServer((req, res) => {
    if (req.method === 'GET' && req.url === '/') {
        const authHeader = req.headers.authorization;
        if (!authHeader || !authHeader.startsWith('Basic ')) {
            res.writeHead(401, { 'WWW-Authenticate': 'Basic realm="Users"' });
            res.end('Unauthorized');
            return;
        }

        const base64Credentials = authHeader.split(' ')[1];
        const credentials = Buffer.from(base64Credentials, 'base64').toString('ascii');
        const [username, password] = credentials.split(':');

        if (users[username] && users[username] === password) {
            res.writeHead(200, { 'Content-Type': 'text/plain' });
            res.end('Welcome, ' + username);
        } else {
            res.writeHead(401, { 'WWW-Authenticate': 'Basic realm="Users"' });
            res.end('Unauthorized');
        }
    } else {
        res.writeHead(404);
        res.end();
    }
});

server.listen(3000, () => {
    console.log('Server running at http://localhost:3000/');
});

HTTP摘要认证

HTTP摘要认证是基本认证的一种增强形式，通过引入随机数和密码的MD5哈希值来提高安全性。RFC 2617定义了摘要认证的具体实现细节。

摘要认证涉及以下步骤：

1. 服务器生成一个随机数（nonce）。
2. 客户端计算三个哈希值：HA1、HA2和最终的响应码（response）。
3. 客户端将这三个哈希值发送给服务器进行验证。

以下是一个简化的示例代码，展示如何实现HTTP摘要认证：

const http = require('http');
const crypto = require('crypto');

const users = {
    tom: '123456'
};

const server = http.createServer((req, res) => {
    if (req.method === 'GET' && req.url === '/') {
        const authHeader = req.headers.authorization;
        if (!authHeader || !authHeader.startsWith('Digest ')) {
            res.writeHead(401, { 'WWW-Authenticate': 'Digest realm="Hi!", nonce="HSfb5dy15hKejXAbZ2VXjVbgNC8sC1Gq", qop="auth"' });
            res.end('Unauthorized');
            return;
        }

        const digestParams = parseDigestHeader(authHeader);

        const ha1 = crypto.createHash('md5').update(`${digestParams.username}:${digestParams.realm}:${users[digestParams.username]}`).digest('hex');
        const ha2 = crypto.createHash('md5').update(`${req.method}:${digestParams.uri}`).digest('hex');
        const response = crypto.createHash('md5').update([ha1, digestParams.nonce, digestParams.nc, digestParams.cnonce, digestParams.qop, ha2].join(':')).digest('hex');

        if (response === digestParams.response) {
            res.writeHead(200, { 'Content-Type': 'text/plain' });
            res.end('Welcome, ' + digestParams.username);
        } else {
            res.writeHead(401, { 'WWW-Authenticate': 'Digest realm="Hi!", nonce="HSfb5dy15hKejXAbZ2VXjVbgNC8sC1Gq", qop="auth"' });
            res.end('Unauthorized');
        }
    } else {
        res.writeHead(404);
        res.end();
    }
});

function parseDigestHeader(header) {
    const params = header.split(', ').reduce((acc, param) => {
        const [key, value] = param.split('=');
        acc[key.replace(/"/g, '')] = value.replace(/"/g, '');
        return acc;
    }, {});
    return params;
}

server.listen(3000, () => {
    console.log('Server running at http://localhost:3000/');
});

这两种认证方式各有优缺点，基本认证简单易用但不够安全，而摘要认证提供了更高的安全性，但在实际应用中需要更多的实现细节。希望这篇文章能帮助你更好地理解HTTP认证的实现。