是否可以在 HTTP 消息中包含多个授权标头？具体来说，我想包括 Bearer 令牌类型之一（传递 OAuth 访问令牌）和 Basic 类型之一（传递 base64 编码的用户名：密码）。
GET /presence/alice HTTP/1.1
Host: server.example.com
Authorization: Bearer mF_9.B5f-4.1JqM
Authorization: Basic YXNkZnNhZGZzYWRmOlZLdDVOMVhk
我认为这不应该是不可能的，只是想与社区一起审查以确定。
【问题讨论】：
标签： http oauth authorization
【讨论】：
我也有类似的问题。这似乎是一个很普遍的问题 (Link to question)。我最终将不记名令牌的授权标头更改为非标准标头，例如
X-Auth:Bearer mF_9.B5f-4.1JqM
这样，它只是另一个 HTTP 标头，基本的 http 授权将通过。如果您正在开发自己的 API，这应该没问题。
一些进一步的研究
基于RFC 2617，这里有一些有趣的细节。
用户代理必须 选择使用具有最强身份验证方案的挑战之一 基于此理解并请求用户提供凭据 挑战。
请注意，许多浏览器只能识别 Basic 并且需要 这是第一个提出的身份验证方案。服务器应该只 如果最低限度可以接受，则包括 Basic。
【讨论】：
**** 2021 年 2 月更新 *** 请阅读本回复的 cmets。他们的一般结论似乎是一些 Web 服务器接受多个授权方案，但它违反了 RFC 7230/7235 ****
这应该是可能的，你只需要在字段值之间添加一个逗号，例如：
GET /presence/alice HTTP/1.1
Host: server.example.com
Authorization: Bearer mF_9.B5f-4.1JqM, Basic YXNkZnNhZGZzYWRmOlZLdDVOMVhk
这在RFC7230，第 3.2.2 节，字段顺序中定义：
发送者不得在消息中生成多个具有相同字段名称的头字段，除非该头字段的整个字段值被定义为逗号分隔列表 [即，#(values)] 或头字段是一个众所周知的例外（如下所述）。
接收者可以将多个具有相同字段名称的标头字段组合成一个“字段名称：字段值”对，而不改变消息的语义，方法是将每个后续字段值按顺序附加到组合的字段值中，用逗号分隔。因此，接收具有相同字段名称的头字段的顺序对于组合字段值的解释很重要；转发消息时，代理不得更改这些字段值的顺序。
我不知道是否所有网络服务器都接受这一点 - 在撰写本文时，我正在与一位同事就它是否应该工作进行辩论。
【讨论】：
Accept-Encoding 标头。但是，Authorization 标头的字段值是 not defined like that。
可能有多个授权标头，我在集成接受多个授权的 API 时遇到了同样的问题。
这是调用接受多个身份验证令牌的 API 的 React js 示例。
axios.get(Constants.API+Constants.GET_USER, { headers: {
'Accept': 'application/json',
'Content-Type': 'application/json',
"Authorization": Constants.AUTH_Element + ',' + Constants.AUTH_ORG + ','+
Constants.AUTH_USER
}})
.then(function (response) {
// handle success
console.log(response);
})
.catch(function (error) {
// handle error
console.log(error);
})
.finally(function () {
// always executed
});
【讨论】：
标题fields are key/value pairs。所以只要它们是独一无二的并且你/程序员知道谁是谁，这很好
AuthorizationBearer: Bearer mF_9.B5f-4.1JqM
AuthorizationBasic: Basic YXNkZnNhZGZzYWRmOlZLdDVOMVhk
我的 Angular 拦截器将 Authorization111: Bearer xyz123 发送到 Node API，API 将令牌提取为
var token = header.headers["authorization111"].toString().split(' ')[1];
【讨论】：
const arrAuthHeader = req.get('Authorization').split(" ");，然后使用两个 if 条件检查变量 > if (!arrAuthHeader) 和 if(arrAuthHeader.length < 2)。所以你可以正确地抛出错误。然后你就做const bearer = arrAuthHeader[0];和const token = arrAuthHeader[1];的作业
如果你在后端使用python，那么你可以简单地在bearer中传递dict，然后在后端处理它之前做json.loads
这样您可以在一个授权标头中传递多个值
示例：通过{"access_token" : access_token, "app_id" : 2}
后台json.loads("{"access_token" : access_token, "app_id" : 2}")
【讨论】：