WikiDer > HTTP + HTML-аутентификация на основе форм
 | Эта статья не цитировать любой источники. (Май 2019) (Узнайте, как и когда удалить этот шаблон сообщения) |
| HTTP |
|---|
| Способы запроса |
| Поля заголовка |
| Коды состояния |
| Методы контроля доступа безопасности |
| Уязвимости безопасности |
| HTML |
|---|
| Сравнения |
HTTP + HTML-аутентификация на основе форм, обычно в настоящее время именуемый просто аутентификация на основе форм, это техника, с помощью которой интернет сайт использует веб-форма собирать, а впоследствии аутентифицировать, учетные данные Информация из пользовательский агентобычно веб-браузер. (Обратите внимание, что фраза "аутентификация на основе форм" двусмысленный. Видеть аутентификация на основе форм для дальнейшего объяснения.)
Сводка взаимодействия
Шаги техники:
- Неаутентифицированный пользовательский агент просит страница в Интернете из интернет сайт, через HTTP протокол.
- В интернет сайт возвращает HTML страница в Интернете неаутентифицированным пользовательский агент. Веб-страница состоит как минимум из HTML-кода. веб-форма что побуждает Пользователь для них имя пользователя и парольвместе с кнопка помечены как «войти» или «отправить».
- Пользователь вводит свое имя пользователя и пароль, а затем нажимает кнопку отправки.
- В пользовательский агент отправляет веб-форма данные (включая имя пользователя и пароль) в веб сервер.
- Веб-сайт выполнение, запущенный на веб-сервере, выполняет некоторые верификация и валидация операции с данными веб-формы. В случае успеха веб-сайт считает, что пользовательский агент аутентифицирован.
Соображения по поводу усыновления
Аутентификация на основе форм HTTP + HTML, возможно, является наиболее распространенным методом аутентификации пользователей, используемым на Всемирная паутина сегодня. Это подход, который выбирают практически все вики, форумы, банковское дело/ финансовые сайты, электронная коммерция веб-сайты, Поисковые системы, Интернет-порталы, и другие распространенные приложения веб-сервера.
Эта популярность, видимо, связана с вебмастерам или их работодатели, желающие получить детальный контроль над представлением и поведением запроса учетных данных пользователя, в то время как всплывающие диалоговые окна по умолчанию (для HTTP базовая аутентификация доступа или же дайджест-проверка подлинности доступа), которые предоставляют многие веб-браузеры, не позволяют выполнять точную настройку. Желаемая точность может быть мотивирована корпоративный требования (например, брендинг) или проблемы с реализацией (например, по умолчанию конфигурация из веб-приложения подобно MediaWiki, phpBB, Drupal, WordPress). Независимо от причины, любой корпоративный бренд или Пользовательский опыт настройки не должны отвлекать от некоторых соображений безопасности этого процесса аутентификации.
Соображения безопасности
- Передаются учетные данные пользователя в ясном к интернет сайт, если только такие шаги, как использование HTTPS принимаются.
- Техника по сути для этого случая в том, что фактически ни одно из взаимодействий между пользовательский агент и веб сервер, Кроме как HTTP и HTML сами, являются стандартизированный. Фактический механизм аутентификации, используемый веб-сайтом, по умолчанию неизвестен Пользователь и пользовательский агент. Сама форма, включая количество редактируемых полей и желаемое их содержимое, полностью выполнение- и развертывание-зависимый.
- Эта техника по своей сути фишинговыйили уязвимы для преступников, маскирующихся под доверенную сторону в процессе аутентификации. Это связано с тем, что он полагается на конечного пользователя для точной проверки того, что он каждый раз обращается к правильному URL-адресу, чтобы предотвратить отправку своего пароля на ненадежный сервер. Пользователи часто этого не делают, поэтому фишинг стал самой распространенной формой нарушения безопасности.[нужна цитата].
Код
<форма метод="ПОЧТОВЫЙ" действие="/авторизоваться"> <метка>имя пользователя: <Вход тип="текст" имя="имя пользователя" автозаполнение="имя пользователя" требуется></метка> <метка>пароль: <Вход тип="пароль" имя="пароль" автозаполнение="текущий пароль" требуется></метка> <кнопка тип="Разместить">Авторизоваться</кнопка></форма>Смотрите также
- Аутентификация
- Базовая аутентификация доступа
- Дайджест-проверка подлинности доступа
- Аутентификация на основе форм
- Авторизоваться