HTTP Basic 认证

HTTP Basic 认证是一种简单而有效的方法，用于限制对网络资源的访问。通过要求用户提供有效的用户名和密码，可以保护应用程序中的敏感端点。本文将探讨如何在 Tio-Boot 应用程序中集成 HTTP Basic 认证，以确保安全的访问控制。同时，我们还将重点介绍 Tio-Boot 处理 HTTP 请求头的一个重要特点：所有请求头的键均为小写。

HTTP Basic 认证简介

HTTP Basic 认证是内置于 HTTP 协议中的一种简单认证方案。它涉及客户端发送一个包含用户名和密码的编码字符串作为请求头。尽管这种方法在没有 HTTPS 的情况下安全性较低，但它为在 Web 应用程序中快速添加认证提供了一种便捷方式。

在 Tio-Boot 应用程序中，集成 HTTP Basic 认证涉及拦截 HTTP 请求、验证 Authorization 请求头，并根据认证结果做出相应的响应。

设置认证工具类

为了处理认证逻辑，我们将创建一个名为 HttpBasicAuthUtils 的工具类。该类将解析 Authorization 请求头，解码凭证，并与预定义的值进行验证。

package com.litongjava.tio.web.hello.utils;

import java.util.Base64;

public class HttpBasicAuthUtils {

  public static boolean authenticate(String authorization) {
    if (authorization != null && authorization.startsWith("Basic ")) {
      String base64Credentials = authorization.substring("Basic ".length()).trim();
      byte[] decodedBytes = Base64.getDecoder().decode(base64Credentials);
      String credentials = new String(decodedBytes);

      final String[] values = credentials.split(":", 2);
      String username = values[0];
      String password = values[1];

      return "admin".equals(username) && "password123".equals(password);
    }
    return false;
  }
}

代码解析

1. 检查 Authorization 请求头：方法首先验证 authorization 请求头是否存在且以 Basic 开头。这确保请求是尝试使用 Basic 认证。

2. 解码凭证：提取 Base64 编码的凭证，进行解码，并将结果字符串拆分为用户名和密码。

3. 验证凭证：将提取的用户名和密码与预定义的有效凭证（本例中为 admin 和 password123）进行比较。如果匹配，则认证成功。

实现认证处理器

接下来，我们将创建一个名为 HelloHandler 的处理器类，利用认证工具类保护 hello 端点。

package com.litongjava.tio.web.hello.handler;

import java.util.HashMap;
import java.util.Map;

import com.litongjava.model.body.RespBodyVo;
import com.litongjava.tio.boot.http.TioRequestContext;
import com.litongjava.tio.http.common.HttpRequest;
import com.litongjava.tio.http.common.HttpResponse;
import com.litongjava.tio.web.hello.utils.HttpBasicAuthUtils;

public class HelloHandler {

  public HttpResponse hello(HttpRequest request) {
    // 执行认证
    String authorization = request.getHeader("authorization");
    if (!HttpBasicAuthUtils.authenticate(authorization)) {
      HttpResponse response = TioRequestContext.getResponse();
      response.setStatus(401);
      response.addHeader("WWW-Authenticate", "Basic realm=\"Access to the site\"");
      return response;
    }

    // 认证通过，返回响应数据
    Map<String, String> data = new HashMap<>();
    RespBodyVo respVo = RespBodyVo.ok(data);
    return TioRequestContext.getResponse().setJson(respVo);
  }
}

代码解析

1. 获取 Authorization 请求头：处理器从传入的 HTTP 请求中获取 authorization 请求头。在 Tio-Boot 中，所有 HTTP 请求头的键均为小写，因此使用 "authorization" 而非 "Authorization"。

2. 执行认证：调用 HttpBasicAuthUtils 的 authenticate 方法进行认证。如果认证失败，处理器将返回 401 Unauthorized 状态，并包含 WWW-Authenticate 请求头，以提示客户端提供凭证。

3. 处理认证成功的情况：如果凭证有效，处理器将构建一个成功的响应，将所需的数据封装为 JSON 格式返回。

处理 Tio-Boot 中的全小写请求头

Tio-Boot 的一个重要特性是将所有 HTTP 请求头的键统一转换为小写。这一设计简化了请求头的检索，消除了大小写敏感性。无论客户端发送的是 Authorization、authorization 还是 AUTHORIZATION，Tio-Boot 都会将其解释和存储为 authorization。

对开发者的影响：

• 一致的请求头访问：在处理器中检索请求头时，始终使用小写键。例如，使用 request.getHeader("authorization") 而不是 request.getHeader("Authorization")。

• 避免大小写变化：不要在应用逻辑中依赖请求头键的不同大小写形式，因为 Tio-Boot 强制将其转换为小写。

综合实现

通过认证工具类和处理器的实现，将 HTTP Basic 认证集成到 Tio-Boot 应用程序中变得简便易行。

步骤概述

1. 定义认证逻辑：确保 HttpBasicAuthUtils 能够正确解码和验证凭证。

2. 实现受保护的端点：使用类似 HelloHandler 的处理器来保护敏感端点。这些处理器应在进一步处理请求前验证认证。

3. 配置路由：设置路由配置，将特定端点与相应的处理器关联。确保受保护的路由使用实施认证的处理器。

4. 测试认证流程：验证在没有有效凭证的情况下访问受保护端点会返回 401 Unauthorized 响应，并且提供有效凭证后能够成功访问。

示例请求流程

• 未认证的请求：

  • 客户端请求：GET /hello
  • 服务器响应：401 Unauthorized，包含提示客户端提供凭证的 WWW-Authenticate 请求头。

• 认证成功的请求：

  • 客户端请求：GET /hello，附带 Authorization: Basic YWRtaW46cGFzc3dvcmQxMjM=
    • 其中，YWRtaW46cGFzc3dvcmQxMjM= 是 admin:password123 的 Base64 编码。
  • 服务器响应：200 OK，返回所需的 JSON 数据。

使用 内置 HttpBasicAuthUtils

import java.util.HashMap;
import java.util.Map;

import com.litongjava.model.body.RespBodyVo;
import com.litongjava.tio.boot.http.TioRequestContext;
import com.litongjava.tio.http.common.HttpRequest;
import com.litongjava.tio.http.common.HttpResponse;
import com.litongjava.tio.web.hello.utils.HttpBasicAuthUtils;

public class HelloHandler {

  public HttpResponse hello(HttpRequest request) {
    // 执行认证
    String authorization = request.getHeader("authorization");
    if (!HttpBasicAuthUtils.authenticate(authorization, "admin", "admin")) {
      HttpResponse response = TioRequestContext.getResponse();
      response.setStatus(401);
      response.addHeader("WWW-Authenticate", "Basic realm=\"Access to the site\"");
      return response;
    }

    // 认证通过，返回响应数据
    Map<String, String> data = new HashMap<>();
    RespBodyVo respVo = RespBodyVo.ok(data);
    return TioRequestContext.getResponse().setJson(respVo);
  }
}

结论

将 HTTP Basic 认证集成到 Tio-Boot 应用程序中是一个简便的过程，可以增强 Web 端点的安全性。通过创建认证工具类、实现强制认证的处理器，并理解 Tio-Boot 对 HTTP 请求头的处理方式，可以有效地保护应用程序的资源。

请注意，在 Tio-Boot 中访问 HTTP 请求头时，始终使用小写键，以确保一致性并避免因大小写问题导致的潜在错误。虽然 HTTP Basic 认证适用于简单的使用场景，但对于需要更高安全标准的应用程序，建议考虑使用更强大的认证机制，如 OAuth 或 JWT。

通过实施这些最佳实践，您可以构建安全可靠的 Tio-Boot 应用程序，保护数据安全，并为用户提供受控的访问权限。