Khóa API và Bearer

Hầu hết API nhận diện bạn bằng một header thay vì biểu mẫu đăng nhập. Cấu trúc phổ biến là:

curl -s -H 'Authorization: Bearer YOUR_TOKEN' http://127.0.0.1:9132/me

Bearer có nghĩa đúng như tên gọi: bất kỳ ai mang token này đều được xem là bạn. Không có bước kiểm tra nào khác, không có mật khẩu, không có yếu tố xác thực thứ hai. Token bị lộ đồng nghĩa với tài khoản bị lộ cho đến khi token bị thu hồi.

Điều đó ảnh hưởng đến cách bạn xử lý token. Token trong URL sẽ lưu lại trong lịch sử trình duyệt và nhật ký máy chủ, vì vậy hãy đặt token trong header. Token trong lệnh shell sẽ lưu lại trong lịch sử shell, nên các script thực tế đọc token từ biến môi trường thay vì ghi cứng vào code.

Một số API dùng tiêu đề có tên khác, chẳng hạn như X-API-Key. Cách hoạt động giống hệt nhau: một chuỗi bí mật trong tiêu đề, được gửi cùng mọi yêu cầu.