Các loại ủy quyền

Apidog cung cấp nhiều phương thức xác thực khác nhau cho các yêu cầu API, cho phép bạn bảo mật các tích hợp và truy cập các tài nguyên được bảo vệ. Trang này cung cấp tài liệu tham khảo toàn diện về tất cả các loại ủy quyền được hỗ trợ và cách cấu hình chúng trong Apidog.

Bạn có thể chọn một loại xác thực từ menu Type trong phần Authorization của một yêu cầu. Xác thực có thể được áp dụng ở cấp độ yêu cầu, thư mục hoặc collection, mang lại sự linh hoạt trong cách bạn quản lý thông tin xác thực trên toàn bộ workspace API của mình.

So sánh các loại ủy quyền

Loại	Trường hợp sử dụng	Mức độ bảo mật	Ứng dụng phổ biến
Inherit from Parent	Tái sử dụng xác thực từ thư mục/collection cha	Khác nhau	Tổ chức các yêu cầu có xác thực dùng chung
No Auth	Các endpoint công khai	Không có	Kiểm tra tình trạng, dữ liệu công khai
API Key	Xác thực dựa trên token đơn giản	Trung bình	API nội bộ, tích hợp cơ bản
Bearer Token	Xác thực dựa trên token (JWT, v.v.)	Trung bình-Cao	API hiện đại, microservices
JWT Bearer	Token JWT tự tạo	Cao	Triển khai JWT tùy chỉnh
Basic Auth	Tên người dùng/mật khẩu	Thấp-Trung bình	Hệ thống cũ, xác thực đơn giản
Digest Auth	Tên người dùng/mật khẩu được mã hóa	Trung bình	Bảo mật nâng cao hơn Basic Auth
OAuth 1.0	Ủy quyền được ủy nhiệm (cũ)	Trung bình	Twitter API, dịch vụ cũ
OAuth 2.0	Ủy quyền được ủy nhiệm hiện đại	Cao	API của Google, GitHub, Microsoft
Hawk Authentication	Xác thực dựa trên HMAC	Cao	API bảo mật chuyên biệt
NTLM	Xác thực Windows	Trung bình	Môi trường Microsoft
Akamai EdgeGrid	Xác thực Akamai CDN	Cao	Dịch vụ Akamai

Kế thừa từ cấp cha

Đơn giản hóa quản lý xác thực

"Inherit from Parent" là loại xác thực mặc định trong Apidog. Khi loại xác thực của một yêu cầu được đặt thành "Inherit from Parent", yêu cầu đó sẽ kế thừa cấu hình xác thực từ thư mục cha của nó và tiếp tục kế thừa lên đến thư mục gốc. Điều này cho phép bạn cấu hình xác thực một lần ở cấp thư mục và tự động áp dụng cho tất cả các yêu cầu con.

Lợi ích:

Quản lý xác thực tập trung

Cập nhật thông tin xác thực dễ dàng hơn

Xác thực nhất quán trên các yêu cầu liên quan

Không xác thực

Nếu không cần xác thực, Apidog sẽ không bao gồm bất kỳ chi tiết ủy quyền nào. Chỉ cần chọn No Auth từ danh sách thả xuống Type trong tab Authorization cho các yêu cầu không cần xác thực.

Khi nào nên sử dụng:

Các endpoint API công khai

Các endpoint kiểm tra tình trạng

Các endpoint xử lý xác thực theo cách tùy chỉnh

API Key

Đối với xác thực bằng API key, bạn cung cấp một cặp khóa-giá trị trong header của yêu cầu hoặc tham số truy vấn. Chọn API Key từ các tùy chọn Type, nhập tên khóa và giá trị của bạn, sau đó chọn thêm vào Headers hoặc Query Params.

Apidog sẽ tự động thêm thông tin cần thiết vào Headers của yêu cầu hoặc chuỗi truy vấn URL.

Thực hành bảo mật tốt nhất

Để tăng cường bảo mật, hãy lưu trữ API key trong các biến môi trường thay vì mã hóa cứng chúng trong yêu cầu. Điều này ngăn việc vô tình làm lộ thông tin trong hệ thống quản lý phiên bản hoặc workspace được chia sẻ.

Bearer Token

Xác thực bằng bearer token, chẳng hạn như JSON Web Tokens (JWT), sử dụng khóa truy cập trong header của yêu cầu. Chọn Bearer Token từ danh sách Type và nhập API key của bạn vào trường Token.

Apidog sẽ thêm token vào header Authorization theo định dạng sau:

Bearer <Your API key>

Tiền tố tùy chỉnh

Đối với các tiền tố tùy chỉnh khác ngoài "Bearer", hãy sử dụng tùy chọn API Key với "Authorization" làm tên khóa.

JWT Bearer

Apidog cũng hỗ trợ tạo token JWT trực tiếp trong ứng dụng. Chọn JWT Bearer từ các tùy chọn Type.

Tùy chọn cấu hình:

Location: Thêm token vào Request Header hoặc Query Param

Algorithm: Chọn từ các biến thể HS, RS, ES hoặc PS với SHA

Secret/Key: Nhập secret hoặc khóa riêng cần thiết

Payload: Nhập dữ liệu payload ở định dạng JSON

Các thiết lập nâng cao cho phép bạn cấu hình tiền tố header và header tùy chỉnh.

Basic Auth

Basic auth liên quan đến việc gửi thông tin xác thực đã được xác minh cùng với yêu cầu của bạn. Chọn Basic Auth từ menu Type và nhập tên người dùng API cùng mật khẩu của bạn.

Apidog sẽ bao gồm một header Authorization với chuỗi được mã hóa Base64 của thông tin xác thực theo định dạng sau:

Basic <Base64 encoded username and password>

Giới hạn bảo mật

Basic Auth truyền thông tin xác thực bằng mã hóa Base64, vốn dễ dàng bị giải mã. Luôn sử dụng HTTPS khi dùng Basic Auth và cân nhắc các phương án thay thế an toàn hơn như OAuth 2.0 cho môi trường sản xuất.