实体签名的 HTTP 标头答案

【问题标题】：HTTP header for entity signature实体签名的 HTTP 标头
【发布时间】：2012-05-15 11:08:20
【问题描述】：

有一个标准标头用于提供 HTTP 请求正文的摘要 (Content-MD5)。

是否有一个常用的标头名称来包含摘要的 DSA 签名（使用 openssl dgst -dss1 -sign <keyfile> 生成），还是我只需要发明一个特定于应用程序的标头名称？

【问题讨论】：

【解决方案1】：

在我看来，您需要发明一个特定于应用程序的标题（快速的 google 搜索结果一无所获），但如果其他人确实使用它，那么最常见的标题可能是类似于 @ 的东西987654322@.

【讨论】：

但是如果有人使用 X-Content-DSA，或者 Content-DSA 最终会出现在标准中，我想确保我的完全一样，而不是，例如，使用不同的摘要算法或不同的密钥长度。
@OrangeDog 据我所知，没有其他人在使用它。但是，如果您担心兼容性问题，您可以随时将标题命名为 X-OrangeDog-DSA，因为这将是独一无二的。如果您希望其他人使用它，那么您可以编写一个 I-D 并将其作为 RFC 提交，但这可能是一个漫长而痛苦的过程（有关更多详细信息，请参阅here）。
是的，这就是我所说的应用程序特定名称的意思。
是的，那么我建议X-something 是您的应用名称和 DSA 的组合。

【解决方案2】：

我想我想看看S/MIME，它是构建加密和/或签名实体主体的标准。

【讨论】：

【解决方案3】：

有a proposal for signing HTTP messages。它于 2013 年首次提出，在过去两年中进行了多次修订，希望表明它正在向前推进。

根据提案，请求发送者可以使用他们选择的算法签署所需数量的标头字段和 URL。使用具有特定格式的 Authorization 标头添加签名。为了对请求负载进行签名，负载摘要包含在the HTTP Digest header 中，并且该标头包含在签名中。

【讨论】：