移动端 HTTP Basic 认证凭证为何在跨站请求中泄露
HTTP Basic 认证凭证在跨站请求中会被发送，这比基于 Cookie 的机制更易受到 CSRF 攻击。
凭证发送机制与跨站风险
HTTP Basic 认证机制会将凭证包含在所有请求中，无论请求的来源是否相同。这种机制与基于 Cookie 的认证不同，因为 Cookie 在跨站请求中通常会被浏览器阻止。凭证在请求头中发送，使得它们容易被恶意网站利用。如果攻击者能够诱导用户访问恶意页面，恶意页面就可以向目标网站发送包含用户凭证的请求。这种风险源于 Basic 认证的设计，即凭证随每个请求一起发送，而不依赖于会话状态。
由于凭证在所有请求中都会被发送，攻击者可以利用这一点发起跨站请求伪造攻击。攻击者不需要知道用户的密码，只需要利用用户已经认证的状态即可。这意味着，如果网站使用 Basic 认证来保护敏感信息，而没有采取额外的安全措施，那么用户的凭证将面临极高的泄露风险。因此，在保护敏感信息时，必须考虑这种机制带来的安全隐患。
安全增强措施与最佳实践
为了降低 Basic 认证带来的风险，网站在处理数据变更时应始终使用 POST 请求，并在请求中包含 CSRF 令牌。CSRF 令牌是一种随机生成的值，用于验证请求是否来自用户预期的源。通过在请求中包含 CSRF 令牌，服务器可以确认请求是由用户发起的，而不是由恶意网站发起的。这可以有效防止攻击者利用用户的认证状态执行未经授权的操作。
如果没有这些安全增强措施，Basic 认证不应用于保护敏感或有价值的信息。此外，Basic 认证凭证在传输过程中是明文编码的，虽然不是加密，但仍然可以被拦截。因此，必须使用 HTTPS/TLS 协议来保护传输通道，防止凭证在传输过程中被窃取。结合 HTTPS 和 CSRF 令牌，可以显著提高 Basic 认证的安全性。
服务器配置示例
在 Apache 服务器上，可以通过配置 .htaccess 文件来启用 Basic 认证。.htaccess 文件通常包含 AuthType Basic 指令，指定使用 Basic 认证方案。AuthName 指令用于设置保护区域的名称，例如“Access to the staging site”，以便用户知道他们正在尝试访问哪个区域。AuthUserFile 指令指向一个包含用户名和加密密码的文件，Require valid-user 指令要求用户提供有效的凭据才能访问。
在 Nginx 服务器上，可以使用 auth_basic 指令来启用 Basic 认证。auth_basic 指令用于设置保护区域的名称，auth_basic_user_file 指令指向包含用户凭据的文件。配置示例中，location /status 块指定了要保护的路径，并启用了 Basic 认证。这种配置方式与 Apache 类似，都是通过引用一个包含加密凭据的文件来验证用户身份。
验证凭证泄露风险
要验证 Basic 认证凭证是否在跨站请求中泄露，可以使用浏览器开发者工具检查网络请求。打开开发者工具，切换到网络标签页，然后访问一个使用 Basic 认证的网站。在发送请求时，查看请求头，确认 Authorization 头是否包含凭证。如果凭证被发送，说明该网站存在跨站请求泄露的风险。
为了进一步验证 CSRF 风险，可以尝试使用浏览器插件或手动构造一个恶意页面。在恶意页面中，使用 JavaScript 发送一个指向目标网站的请求，并检查目标网站是否响应了请求。如果目标网站响应了请求，说明攻击者可以利用用户的认证状态执行操作。这证实了 Basic 认证在跨站请求中泄露凭证的风险。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。