API 키와 Bearer

대부분의 API는 로그인 폼이 아니라 헤더를 통해 사용자를 식별합니다. 일반적인 형태는 다음과 같습니다.

curl -s -H 'Authorization: Bearer YOUR_TOKEN' http://127.0.0.1:9132/me

Bearer는 말 그대로의 의미를 가집니다. 이 토큰을 가진 사람은 여러분으로 간주됩니다. 추가 확인도, 비밀번호도, 2차 인증도 없습니다. 유출된 토큰은 폐기될 때까지 유출된 계정과 같습니다.

이는 토큰을 다루는 방식에 영향을 줍니다. URL에 포함된 토큰은 브라우저 기록과 서버 로그에 남게 되므로 헤더에 넣어야 합니다. 셸 명령에 포함된 토큰은 셸 기록에 남게 되므로, 실제 스크립트에서는 토큰을 직접 하드코딩하는 대신 환경 변수에서 읽습니다.

일부 API는 X-API-Key와 같이 이름이 다른 헤더를 사용합니다. 작동 방식은 동일합니다. 헤더에 담긴 비밀 문자열을 모든 요청과 함께 전송하는 것입니다.