php - 通过没有 SSL 的 PHP Curl 使用 localhost 服务的基本身份验证是否安全？

Question

我有一个本地服务可通过需要基本身份验证的 HTTP REST API 访问。使用 PHP Curl 调用它通常安全吗？

curl_setopt($ch, CURLOPT_URL, "http://localhost:XXXX/");
curl_setopt($ch, CURLOPT_USERPWD, $username . ":" . $password);

我的猜测是肯定的，因为它都是本地的，但我想我会把它扔出去确认。

Answer 1

对于 REST 安全性，请检查 OAuth 2.0，但如果您不想使用复杂的身份验证机制，您可以只使用 HTTPS，因为您告知它是本地的，但不要使用基于 http 的基本身份验证。

Answer 2

SSL 提供 2 种形式的保护（相互补充和完善）：

1. 它可以防止第 3 方读取您在运输途中的流量
2. 它允许您确认您已连接到您认为您已连接到的人。

如果您对这两种形式的攻击都没有任何顾虑，那么您就不需要使用 SSL 加密。我打赌本地连接，除非您的本地网络是政府机构或财富 100 强公司，否则您不会受到威胁，至少不会被任何智能到足以做任何事情的事情，除了在您的浏览器中弹出广告或发送出垃圾邮件。如果你真的不走运，也许是键盘记录器，但这些东西都不会嗅探 HTTP 流量。