APIキーとBearer

ほとんどの API では、ログインフォームではなくヘッダーであなたを識別します。一般的な形式は次のとおりです。

curl -s -H 'Authorization: Bearer YOUR_TOKEN' http://127.0.0.1:9132/me

Bearer は文字どおりの意味です。このトークンを持つ者は、あなたとして扱われます。それ以上の確認はなく、パスワードも第 2 要素もありません。漏洩したトークンは、取り消されるまで漏洩したアカウントそのものです。

これは、トークンの扱い方にも影響します。URL 内のトークンはブラウザーの履歴やサーバーログに残るため、ヘッダーに入れるべきです。シェルコマンド内のトークンはシェルの履歴に残ります。そのため、実際のスクリプトでは、トークンをハードコードするのではなく、環境変数から読み取ります。

API によっては、X-API-Key のように別の名前のヘッダーを使用します。仕組みは同じで、ヘッダー内の秘密の文字列をすべてのリクエストとともに送信します。