HTTP Basic和Digest认证介绍与计算
一、说明
web用户认证，最开始是get提交+把用户名密码存放在客户端的cookie中的形式；在意识到这样不安全之后逐渐演变成了post提交+把用户凭证放到了服务端的session中的形式（当然sessionid还在cookie中）。
不过其实最初给http设计的认证方式，既不是“get+cookie”也不是“post+session”，而是Basic和Digest。但Basic和Digest并不流行我想主要是因为麻烦，一是说Basic和Digest使用的Authorization头并不会被浏览器自动发往服务器，二是说对于Digest计算很麻烦。
二、Basic认证形式
2.1 Basic认证请求示例
请求示例如下，主要是Authorization头（位置不重要，http头一般都不分先后）
GET /GetDeviceInfo HTTP/1.1
Host: 192.168.220.128
Authorization: Basic YWRtaW46MTIzNDU2
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:60.0) Gecko/20100101 Firefox/60.0
Accept-Encoding: gzip, deflate
Accept: */*
Cache-Control: no-cache
Cookie: Secure
Connection: close
2.2 Basic认证计算方法
前边请求Authorization头的YWRtaW46MTIzNDU2，实际上是用户名admin密码123456使用以下计算方法得到：
base64(username:password)
Python计算代码如下：
import base64 def get_basic_authorization_header_value(username,password): # base64编码前后都（要）是字节码形式 authorization_value = base64.b64encode((f"{username}:{password}").encode()).decode() authorization_header_value = f"Basic {authorization_value}" return authorization_header_value
三、Digest认证形式
3.1 Digest认证请求示例
GET /GetDeviceInfo HTTP/1.1
Host: 192.168.220.128
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:60.0) Gecko/20100101 Firefox/60.0
Authorization: Digest username="admin",realm="TVT API Test Tool",nonce="d4f95e85dc5a39a4914db61b67878f5b",uri="GetDeviceInfo",algorithm="MD5",cnonce="d4f95e85dc5a39a4914db61b67878f5b",nc=00000001,qop="auth",response="1cc4cf126d3c4a70d2de34c5d8c2943c"
Accept-Encoding: gzip, deflate
Accept: */*
Cache-Control: no-cache
Cookie: Secure
Connection: close
username----系统用户名；客户端自行填充
realm----领域；服务端通过WWW-Authenticate头返回内容可以自己随便定，但其目的是用于提示客户端当前是什么系统，所以规范来说应类似于“myhost@testrealm.com”的形式。
nonce----服务端通过WWW-Authenticate头返回的随机数
uri----请求接口或资源（似乎规范来说应用GET或POST后的一样，上边例子中少了/是因为服务端没按规范实现）
algorithm----后边response用的计算方法
cnonce----client nonce，客户端生成的随机数
nc----nonce count，用于标识进行请求的次数。（但你一直不变服务端也不会管你对不对）
qop----quality of protection，进一步限定response的计算方法，服务端通过WWW-Authenticate头返回。
response----认证最主要的值，前面各字段除algorithm外全要参与该值的计算。
3.2 Digest认证计算方法
在最开始的RFC 2069中规定response计算方法如下：
HA1 = MD5(username:realm:password) HA2 = MD5(method:uri) response = MD5(HA1:nonce:HA2)
随后的RFC 2617对计算方法进行了增强，规定计算方法如下（当algorithm值为MD5或未指定、qop未指定时等同RFC 2069）：
# HA1部分 # 当algorithm值为"MD5"或未指定时，HA1计算方法如下 HA1 = MD5(username:realm:password) # 当algorithm值为"MD5-sess"时，HA1计算方法如下 HA1 = MD5(MD5(username:realm:password):nonce:cnonce) # HA2部分 # 当qop值为"auth"或未指定时，HA2计算方法如下 HA2 = MD5(method:uri) # 当qop值为"auth-int"时，HA2计算方法如下；entityBody是指整个body（？） HA2 = MD5(method:uri:MD5(entityBody)) # response部分 # 当qop值为"auth"或"auth-int"时，response计算方法如下 response = MD5(HA1:nonce:nonceCount:cnonce:qop:HA2) # 当qop未指定时，response计算方法如下 response = MD5(HA1:nonce:HA2)
Python计算代码如下：
import hashlib # body初始值不要是None，不然下边encode时会报错 def get_basic_authorization_header_value(username, password, uri, method, realm, nonce, nc, cnonce, algorithm=None, qop=None, body=""): response_value = calc_digest_response_value(username, password, uri, method, realm, nonce, nc, cnonce, algorithm, qop, body) authorization_header_value = f'Digest username="{username}",realm="{realm}",nonce="{nonce}",uri="{uri}",algorithm="{algorithm}",cnonce="{cnonce}",nc={nc},qop="{qop}",response="{response_value}"', return authorization_header_value def calc_digest_response_value(username, password, uri, method, realm, nonce, nc, cnonce, algorithm=None, qop=None, body=""): # HA1部分 # 当algorithm值为"MD5"或未指定时，HA1计算方法如下 if algorithm == "MD5" or algorithm == "" or algorithm is None: HA1 = hashlib.md5((f"{username}:{realm}:{password}").encode()).hexdigest() # 当algorithm值为"MD5-sess"时，HA1计算方法如下 elif algorithm == "MD5-sess": HA1 = hashlib.md5((f"{username}:{realm}:{password}").encode()).hexdigest() HA1 = hashlib.md5((f"{HA1}:{nonce}:{cnonce}").encode()).hexdigest() else: response_value = '"the value of algorithm must be one of "MD5"/"MD5-sess"/""/None' return response_value # HA2部分 # 当qop值为"auth"或未指定时，HA2计算方法如下 if qop == "auth" or qop == "" or qop is None: HA2 = hashlib.md5((f"{method}:{uri}").encode()).hexdigest() # 当qop值为"auth-int"时，HA2计算方法如下；entityBody是不是指整个body我其实不太确定 elif qop == "auth-int": HA2 = hashlib.md5((f"{body}").encode()).hexdigest() HA2 = hashlib.md5((f"{method}:{uri}:{HA2}").encode()).hexdigest() else: response_value = '"the value of qop must be one of "auth"/"auth-int"/""/None' return response_value # response部分 # 当qop值为"auth"或"auth-int"时，response计算方法如下 if qop == "auth" or qop == "auth-int": response_value = hashlib.md5((f"{HA1}:{nonce}:{nc}:{cnonce}:{qop}:{HA2}").encode()).hexdigest() # 当qop未指定时，response计算方法如下 elif qop == "" or qop is None: response_value = hashlib.md5((f"{HA1}:{nonce}:{HA2}").encode()).hexdigest() else: response_value = "unknown error" return response_value
参考：
https://en.wikipedia.org/wiki/Digest_access_authentication
