『居善地』介面測試 — 10、介面測試的認證機制

繁華似錦Fighting發表於2021-06-13

目錄

1、介面的安全機制

一般在實際專案的介面開發中，介面的安全機制是繞不開的一個話題。不管是自己內部使用的介面也好，還是給第三方使用的介面也好。如果毫無限制的給任何人呼叫，那麼必然會帶來諸多安全問題。

例如：重要資料洩密，系統癱瘓等。

2、使用者認證

（1）使用者認證說明：

HTTP的請求中，有一些請求是需要通過授權認證之後才會響應，授權認證就是檢查使用者名稱和密碼的過程（鑑權）。

HTTP有一個基本認證方式：在認證的過程中，客戶端需要把使用者名稱和密碼發給伺服器，伺服器收到並檢查通過後才會響應請求，不通過返回401狀態碼，提示未授權或者授權失敗。

（2）使用者認證介面處理：

在測試Web 介面時，不管所用的介面工具（Postman）還是Requests 庫，都提供的Auth選項/引數。

這個選項提供了username和password的選項，但這裡的Auth使用者名稱和密碼，與系統登入的使用者名稱密碼有所區別，登入的使用者名稱密碼是作為介面的引數來傳輸，而Auth不是，但它仍然包含在request請求中。

Requests 允許你使用自己指定的身份驗證機制。

自定義的身份驗證機制是作為 requests.auth.AuthBase 的子類來實現的，也非常容易定義。Requests 在 requests.auth 中提供了兩種常見的的身份驗證方案： HTTPBasicAuth 和 HTTPDigestAuth 。

3、示例說明

示例1：使用明文提交使用者名稱密碼。

import requests

# 定義請求url
base_url = "http://httpbin.org/get?username=xiaoming&password=123456"

# 傳送請求
response = requests.get(base_url)

# 輸出請求結果
if response.status_code == 200:
    print(response.text)
    

"""
# 返回結果：（即請求發出的引數的返回）
{
  "args": {
    "password": "123456", 
    "username": "xiaoming"
  }, 
  "headers": {
    "Accept": "*/*", 
    "Accept-Encoding": "gzip, deflate", 
    "Connection": "keep-alive", 
    "Host": "127.0.0.1:9999", 
    "User-Agent": "python-requests/2.18.4"
  }, 
  "origin": "106.35.11.30", 
  "url": "http://httpbin.org/get?username=xiaoming&password=123456"
}
"""

我們可以看到提交與使用者名稱密碼相關的資料是明文顯示。

示例2：使用requests庫的Auth選項提交請求。

import requests
from requests.auth import HTTPBasicAuth

base_url = "http://httpbin.org"

# 身份驗證-BasicAuth
response = requests.get(base_url + "/basic-auth/xiaoming/123456", auth=HTTPBasicAuth('xiaoming', '123456'))
if response.status_code == 200:
    print(response.text)


"""
返回結果：
{
  "authenticated": true, 
  "user": "xiaoming"
}

翻譯：
{ “已認證” ：true ，“使用者” ：“ xiaoming” }
"""

我們可以看到傳送出的資料被隱藏了，沒有任何顯示。

示例3：我們請求一個實際的登陸介面：

import requests
from requests.auth import HTTPBasicAuth

# 定義請求URL
url = 'http://sck.rjkflm.com:666/spider/auth/'

# HTTPBasicAuth 認證
ah = HTTPBasicAuth('admin', 'admin')

# 傳送請求
response = requests.get(url=url, auth=ah)

# 顯示結果
if response.status_code == 200:
    print(response.text)

我們使用Fiddler抓取請求，檢視請求體。

可以看出Authorization（授權）屬性的內容，也就是我們的使用者名稱密碼，被進行了加密。

image

總結：

  • 這是一種簡單的身份認證，當一個客戶端向一個需要認證的HTTP伺服器進行資料請求時，如果之前沒有認證過，HTTP伺服器會返回401狀態碼，要求客戶端輸入使用者名稱和密碼。

  • 使用者輸入使用者名稱和密碼後，HTTPBasicAuth是通過HTTP的Authorization請求頭中，攜帶經過base64加密的使用者名稱和密碼而實現的一種認證。

  • 服務端接收使用者名稱和密碼之後會解密其內容，從而獲取真正傳遞過來的使用者名稱和密碼，之後再去同步資料庫中的使用者名稱和密碼，進行比對。

相關文章