1、介面的安全機制
一般在實際專案的介面開發中，介面的安全機制是繞不開的一個話題。不管是自己內部使用的介面也好，還是給第三方使用的介面也好。如果毫無限制的給任何人呼叫，那麼必然會帶來諸多安全問題。
例如：重要資料洩密，系統癱瘓等。
2、使用者認證
（1）使用者認證說明：
HTTP的請求中，有一些請求是需要通過授權認證之後才會響應，授權認證就是檢查使用者名稱和密碼的過程（鑑權）。
HTTP有一個基本認證方式：在認證的過程中，客戶端需要把使用者名稱和密碼發給伺服器，伺服器收到並檢查通過後才會響應請求，不通過返回401狀態碼，提示未授權或者授權失敗。
（2）使用者認證介面處理：
在測試Web 介面時，不管所用的介面工具（Postman）還是Requests 庫，都提供的Auth選項/引數。
這個選項提供了username和password的選項，但這裡的Auth使用者名稱和密碼，與系統登入的使用者名稱密碼有所區別，登入的使用者名稱密碼是作為介面的引數來傳輸，而Auth不是，但它仍然包含在request請求中。
Requests 允許你使用自己指定的身份驗證機制。
自定義的身份驗證機制是作為 requests.auth.AuthBase 的子類來實現的，也非常容易定義。Requests 在 requests.auth 中提供了兩種常見的的身份驗證方案： HTTPBasicAuth 和 HTTPDigestAuth 。
3、示例說明
示例1：使用明文提交使用者名稱密碼。
import requests
# 定義請求url
base_url = "http://httpbin.org/get?username=xiaoming&password=123456"
# 傳送請求
response = requests.get(base_url)
# 輸出請求結果
if response.status_code == 200:
print(response.text)
"""
# 返回結果：（即請求發出的引數的返回）
{
"args": {
"password": "123456",
"username": "xiaoming"
},
"headers": {
"Accept": "*/*",
"Accept-Encoding": "gzip, deflate",
"Connection": "keep-alive",
"Host": "127.0.0.1:9999",
"User-Agent": "python-requests/2.18.4"
},
"origin": "106.35.11.30",
"url": "http://httpbin.org/get?username=xiaoming&password=123456"
}
"""
我們可以看到提交與使用者名稱密碼相關的資料是明文顯示。
示例2：使用requests庫的Auth選項提交請求。
import requests
from requests.auth import HTTPBasicAuth
base_url = "http://httpbin.org"
# 身份驗證-BasicAuth
response = requests.get(base_url + "/basic-auth/xiaoming/123456", auth=HTTPBasicAuth('xiaoming', '123456'))
if response.status_code == 200:
print(response.text)
"""
返回結果：
{
"authenticated": true,
"user": "xiaoming"
}
翻譯：
{ “已認證” ：true ，“使用者” ：“ xiaoming” }
"""
我們可以看到傳送出的資料被隱藏了，沒有任何顯示。
示例3：我們請求一個實際的登陸介面：
import requests
from requests.auth import HTTPBasicAuth
# 定義請求URL
url = 'http://sck.rjkflm.com:666/spider/auth/'
# HTTPBasicAuth 認證
ah = HTTPBasicAuth('admin', 'admin')
# 傳送請求
response = requests.get(url=url, auth=ah)
# 顯示結果
if response.status_code == 200:
print(response.text)
我們使用Fiddler抓取請求，檢視請求體。
可以看出Authorization（授權）屬性的內容，也就是我們的使用者名稱密碼，被進行了加密。
總結：
這是一種簡單的身份認證，當一個客戶端向一個需要認證的HTTP伺服器進行資料請求時，如果之前沒有認證過，HTTP伺服器會返回401狀態碼，要求客戶端輸入使用者名稱和密碼。
使用者輸入使用者名稱和密碼後，
HTTPBasicAuth是通過HTTP的Authorization請求頭中，攜帶經過base64加密的使用者名稱和密碼而實現的一種認證。服務端接收使用者名稱和密碼之後會解密其內容，從而獲取真正傳遞過來的使用者名稱和密碼，之後再去同步資料庫中的使用者名稱和密碼，進行比對。