一、HTTP基本认证
HTTP基本认证是一种用于Web应用程序的身份验证方法。它允许Web服务器要求用户提供用户名和密码，以验证其身份。
基本认证通过在HTTP请求头中包含Authorization字段来实现。该字段包含用户名和密码，用于证明用户的身份。例如，Authorization字段可能如下所示：
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==
其中，"Basic"表示使用基本认证，后面的字符串是经过编码的用户名和密码。这个字符串实际上是一个Base64编码的字符串，由用户名和密码组成，中间用冒号分隔。
HTTP基本认证是一种简单的身份验证机制，通常包括以下四个步骤：
-
客户端向服务器发送请求：客户端向需要身份验证的资源发送请求，例如一个需要身份验证的网页。
-
服务器返回401 Unauthorized响应：由于客户端还没有提供身份验证信息，服务器将返回一个401 Unauthorized响应，表示需要身份验证。
-
客户端提供身份验证信息：客户端收到401 Unauthorized响应后，会提示用户提供身份验证信息，例如用户名和密码。一旦用户提供了身份验证信息，客户端会将这些信息编码并在Authorization请求头中发送给服务器。
-
服务器验证身份并返回资源：服务器接收到带有身份验证信息的请求后，会将其解码并验证。如果验证成功，服务器将返回所请求的资源，否则将返回一个错误响应。
二、HTTP摘要认证
HTTP摘要认证是一种用于Web应用程序的身份验证方法，它是HTTP基本认证的一种改进版本。与HTTP基本认证相比，HTTP摘要认证提供了更强的安全性，因为它使用了哈希函数来加密密码并提供了一些保护机制来防止重放攻击。
HTTP摘要认证的基本流程如下：
-
客户端向服务器发送请求：客户端向需要身份验证的资源发送请求，例如一个需要身份验证的网页。
-
服务器返回401 Unauthorized响应：由于客户端还没有提供身份验证信息，服务器将返回一个401 Unauthorized响应，其中包含一些摘要信息，例如随机数（nonce）和保护质量（qop）。
-
客户端计算响应：客户端使用用户提供的密码和服务器返回的信息计算响应。计算过程通常包括以下步骤：
- a. 计算响应哈希值：客户端使用哈希函数（通常是MD5）对包含用户名、密码、随机数、请求方法和请求URI等信息的字符串进行哈希计算，并将结果编码成十六进制格式。
- b. 计算认证哈希值：客户端使用哈希函数对一些摘要信息和响应哈希值进行计算，并将结果编码成十六进制格式。
4. 客户端发送带有身份验证信息的请求：客户端将计算出的响应和其他信息，例如用户名和随机数，以及qop值（如果有的话），作为Authorization请求头的参数发送给服务器。
5. 服务器验证身份并返回资源：服务器接收到带有身份验证信息的请求后，会将其解码并验证。如果验证成功，服务器将返回所请求的资源，否则将返回一个错误响应。
需要注意的是，HTTP摘要认证提供了更强的安全性，但由于计算响应的过程比较复杂，因此其性能可能会受到一定的影响。另外，虽然HTTP摘要认证提供了一定的保护机制来防止重放攻击，但其安全性仍然有待商榷。
三、Spring Security对HTTP摘要认证的集成支持
对于服务器而言，最重要的字段是nonce；对于客户端而言，最重要的字段是response。
nonce是由服务器生成的随机字符串，包含过期时间和密钥。在spring security中，其生成算法如下：
public String generateNonce() {
byte[] bNonce = new byte[16];
new SecureRandom().nextBytes(bNonce);
String sNonce = new String(Base64.getEncoder().encode(bNonce));
String createdDate = new SimpleDateFormat("yyyy-MM-dd'T'HH:mm:ss.SSS'Z'").format(new Date());
return String.format("%s%s", sNonce, createdDate);
}
这个算法首先生成一个长度为16的随机字节数组bNonce，然后使用Base64编码将其转换为一个字符串sNonce。接下来，算法使用当前日期和时间生成一个字符串createdDate，格式为ISO8601格式（yyyy-MM-dd'T'HH:mm:ss.SSS'Z'）。最后，算法将sNonce和createdDate组合起来，返回一个字符串作为nonce值。这个字符串包含了随机数和创建时间信息，用于保证其唯一性，并且将来可用于检查其是否已过期。
验证的大体流程是：客户端首先按照约定的算法计算并发送response，服务器接收之后，以同样的方式计算得到一个response。如果两个response相同，则证明该摘要正确。接着用base64解码原nonce得到过期时间，以验证该摘要是否还有效。