Bearer Token
Bearer トークンは純粋に所持だけで機能するトークンである。Authorization: Bearer <token> ヘッダーで送られ、追加のクレデンシャルなしに、持っている者なら誰でも使える。
目的
トークン自体がクレデンシャルとなる、単純なトークンベース認証の仕組みを提供する。
メカニズム
ヘッダーは Authorization: Bearer <token> である。サーバーはトークンの有効性と権限を検証する。トークンは JWT や不透明トークンなどでよい。安全性は、伝送中の漏えいを防ぐ HTTPS とトークンの寿命に依存し、ひとたび漏えいすればなりすましに使われる。
ユースケース
- API の Bearer 認証
- OAuth 2.0 アクセストークン
- JWT の受け渡し
- サービス間認証
例
- 入力
Authorization: Bearer eyJ...OutputThe server verifies the JWT signature and expiryPossession grants validity
よくあるエラー
- A leaked token is immediately used for impersonation
- Use short lifetimes, HTTPS, and a revocation list
関連用語
JWT
JWT（JSON Web Token）は、クレームを JSON オブジェクトとして安全に伝えるコンパクトで自己完結型のトークンである。ステートレス認証と情報交換に広く使われる。 用語集
OAuth
OAuth 2.0は、ユーザーの同意の下で、パスワードを共有せずにトークンを使ってサードパーティアプリケーションがユーザーのリソースへアクセスできるようにする認可フレームワークである。 用語集
Basic Auth
HTTP Basic 認証はユーザー名とパスワードを Base64 で符号化して Authorization ヘッダーで送る。単純だが、HTTPS 上で使わなければならない。 用語集