这是有效的HTTP授权头吗？

Question

使用Wireshark，我看到iOS飞利浦远程电视应用程序与我的飞利浦电视交谈，运行他们的新os Saphi发送一些HTTP请求，授权标题如下：

授权：基本1:ZmVay1EQVFOaZhwQ4Kv81ypLAZNczV9sG4KkseXWn1NEk6cXmPKO/MCA9SRYSLVLCFMNNE4C4C4PxZTOOWVHVA==

我相信“1”是用户ID，它与带有“：”的长密码分开。

在维基百科中，我读到授权字段的构造如下：

>

用户名和密码用一个冒号（：）组合。

生成的字符串使用Base64的变体编码成八位字节序列。

所述授权方法和空间（例如B-SB）。"Basic"）随后被前缀到编码html" target="_blank">字符串中。

例如，如果浏览器使用阿拉丁作为用户名，使用OpenSesame作为密码，则该字段的值是阿拉丁的base64编码：OpenSesame，或QWXHZGRPBJPCGVu2VzyW1L。

然后，授权标题将显示为：

授权：基本QWXHZGRPBJPCGVU2VZYW1L

因此，我想知道这个应用程序中使用的授权头是否有效-跳过上面的编码步骤2，看起来像什么？

Answer 1

您发布的标题违反了RFC 7235，这禁止在授权令牌中使用冒号（：）：

Authorization = credentials

credentials   = auth-scheme [ 1*SP ( token68 / #auth-param ) ]

token68       = 1*( ALPHA / DIGIT /

                    "-" / "." / "_" / "~" / "+" / "/" ) *"="

正如您正确指出的，基本身份验证在组合用户名和密码后编码为Base64。您发布的示例在冒号后包含有效的Base64，但它会被解码为一些二进制垃圾。

这个飞利浦软件的开发人员很可能错误地将自定义身份验证方案标记为Basic。这不是一个罕见的错误。一个典型的情况是在没有Base64的情况下发送令牌，如在Basic MySECToken123中。