11.1 Базовая схема установления подлинности (Basic Authentication Scheme).
"Базовая" схема установления подлинности основана на том, что агент пользователя должен доказывать свою подлинность при помощи идентификатора пользователя (user-ID) и пароля (password) для каждой области (realm). Значению области (realm) следует быть непрерывной (opaque) строкой, которую можно проверять только на равенство с другими областями на этом сервере. Сервер обслужит запрос, только если он может проверить правильность идентификатора пользователя (user-ID) и пароля (password) для защищенной области (protection space) запрошенного URI (Request-URI). Никаких опциональных опознавательных параметров нет.
После получения запроса на URI, находящийся в защищаемой области (protection space), сервер может ответить вызовом (challenge), подобным следующему:
WWW-Authenticate: Basic realm="WallyWorld"
где "WallyWorld" - строка, назначенная сервером, которая идентифицирует область защиты запрашиваемого URI (Request-URI).
Чтобы получить права доступа, клиент посылает идентификатор пользователя (userid) и пароль (password), разделенные одним символом двоеточия (":"), в base64-кодированной строке рекомендаций (credentials).
basic-credentials = "Basic" SP basic-cookie
basic-cookie = <base64-кодированный [7] user-pass, за исключением не ограниченных 76 имволами в строке>
user-pass = userid ":" password
userid = *<TEXT не содержащий ":">
password = *TEXT
Userid может быть чувствителен к регистру.
Если агент пользователя хочет послать идентификатор пользователя (userid) "Aladdin", и пароль (password) "open sesame", он будет использовать следующее поле заголовка:
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==
11.2 Обзорная схема установления подлинности (Digest Authentication Scheme) [1].
HTTP обычно используется для распределенных информационных систем, эффективность которых может быть улучшена при использовании кэшированных ответов. Протокол HTTP/1.1 включает ряд элементов, предлагаемых как возможная реализация кэширования. Так как эти элементы отличаются от других аспектов протокола, и так как они взаимодействуют друг с другом, то полезно будет описать основы кэширования в HTTP отдельно от детализированных описаний методов, заголовков, кодов состояния, и прочего.
Цель кэширования в HTTP/1.1 состоит в том, чтобы устранить потребность посылки запросов во многих случаях, и устранить потребность посылки полных ответов в других случаях. Кэширование уменьшает число пересылок информации по сети, требуемых для многих действий; мы используем для этой цели механизм "устаревания" ("expiration"). Кэширование снижает требования к пропускной способности сети; мы используем для этой цели механизм "проверки достоверности" ("validation").
Требования эффективности, доступности, и раздельного функционирования требуют, чтобы цель семантической прозрачности была отодвинута на второй план. Протокол HTTP/1.1 позволяет первоначальным серверам, кэшам, и клиентам явно ограничивать прозрачность в случае необходимости. Однако, так как непрозрачное функционирование может ввести в заблуждение неопытных (non-expert) пользователей, и может быть несовместимо с некоторыми серверными приложениями (такими как заказ товаров), протокол требует, чтобы прозрачность ослаблялась
- Только явным запросом на уровне протокола если ослабление вызывается клиентом или первоначальным сервером
- Только с явным предупреждением конечного пользователя если ослабление вызывается кэшем или клиентом
Таким образом протокол HTTP/1.1 предоставляет следующие важные элементы:
1. Возможности протокола, которые обеспечивают полную семантическую прозрачность когда это требуется всем сторонам.
2. Возможности протокола, которые позволяют первоначальному серверу или агенту пользователя явно запрашивать непрозрачное функционирование и управлять им.
3. Возможности протокола, которые позволяют кэшу присоединять к ответам предупреждения о том, что запрошенный уровень семантической прозрачности не сохранен.
Базовый принцип состоит в том, что клиенты должны иметь возможность обнаружить любое потенциальное ослабление семантической прозрачности.
Реализатор сервера, кэша или клиента может столкнуться с проблемами, явно не обсужденными в этой спецификации. Если решение может воздействовать на семантическую прозрачность, реализатор должен принимать решения в сторону сохранения прозрачности, если осторожный и полный анализ не показывает значительных выгод раздельного функционирования.
13.1 Общая информация о кэшировании.
Правильный кэш должен отвечать на запрос наиболее современным ответом, соответствующим запросу, из хранимых кэшем который удовлетворяет одному из следующих условий:
1. Он был проверен на эквивалентность ответу, который возвратил первоначальный сервер, повторно подтверждая достоверность;
2. Он "достаточно свеж" ("fresh enough"). По умолчанию это означает, что он удовлетворяет наименьшему из ограничительных требований свежести клиента, сервера и кэша; если так определено первоначальным сервером, то это - требование свежести единственно первоначального сервера.
3. Он включает предупреждение, если свежесть запрошена клиентом или первоначальный сервер нарушен.
4. Он соответствует сообщению ответа с кодом состояния 304 (не модифицирован, Not Modified), 305 (используйте прокси-сервер, Use Proxy), или ошибочному ответу (4xsx или 5xx).
Если кэш не может связаться с первоначальным сервером, то правильному кэшу следует отвечать как описано выше, если ответ может быть правильно обслужен из кэша; иначе необходимо возвратить ошибку или предупредить о том, что имеется отказ связи.
Если кэш получает ответ (либо весь ответ, либо ответ с кодом состояния 304 (не модифицирован, Not Modified)), который может быть нормально передан запрашивающему клиенту, и полученный ответ устарел, то кэшу следует переслать его запрашивающему клиенту не добавляя нового заголовка Warning (Предупреждение) (но не удаляя существующие заголовки Warning). Кэшу не следует пытаться повторно проверить достоверность ответа просто потому, что тот ответ устарел при передаче; это могло бы привести к бесконечному циклу. Агент пользователя, который получает просроченный ответ без Warning может показать пользователю предупреждение.
Всякий раз, когда кэш возвращает ответ, который не является ни непосредственным (first-hand), ни "достаточно свежим" (в смысле условия 2 раздела 13.1.1), он должен присоединить предупреждение об этом, используя заголовок ответа Warning. Это предупреждение позволяет клиентам предпринимать соответствующие действия.
Предупреждения могут использоваться для других целей, как связанных с кэшированием, так и не связанных. Использование предупреждений, а не ошибочных кодов состояния, отличает эти ответы от истинных отказов.
Предупреждения кэшируемы всегда, так как не ослабляют прозрачность ответа. Это означает, что предупреждения могут быть переданы HTTP/1.0 кэшам без опасений; такие кэши просто передадут предупреждение дальше как заголовок объекта в ответе.
Предупреждения - это предопределенные числа от 0 до 99. Эта спецификация определяет коды, и значения каждого определенного в настоящее время предупреждения, позволяя клиенту или кэшу предпринимать самостоятельные действия в некоторых (но не во всех) случаях.
Предупреждения также содержат текст предупреждения. Текст может быть на любом соответствующем естественном языке (возможно на основании заголовков Accept клиента), и включать опциональную индикацию используемого набора символов.
К ответу могут быть присоединены несколько предупреждений (как первоначальным сервером, так и кэшем), включая несколько предупреждений с одиннаковыми кодовыми номерами. Например, сервер может добавлять одно и тоже предупреждение как к английским текстам, так и к баскским.
Если к ответу присоединено несколько предупреждений, то может быть практически не целесообразно или не приемлемо показать все из них пользователю. Эта версия HTTP не определяет строгих приоритетных правил для определения, какие из предупреждений отображать и в каком порядке, но предлагает некоторую эвристику.
13.1.3 Механизмы управления кэшем (Cache-control Mechanisms).
Основные механизмы кэша в HTTP/1.1 (указанные сервером время устаревания (expiration time) и указатель достоверности (validator)) - неявные директивы кэшу. Возможны случаи, в которых сервер или клиент должен обеспечить явные директивы HTTP кэшу. Мы используем для этой цели заголовок Cache-Control.
Заголовок Cache-Control позволяет клиенту или серверу передавать ряд директив как в запросах, так и в ответах. Эти директивы обычно отменяют испоьзуемые по умолчанию кэширующие алгоритмы. В качестве общего правила: если имеется очевидный конфликт между значениями заголовка, то должна применяться наиболее ограничивающая интерпретация (то есть та, которая, наилучшим образом сохранит семантическую прозрачность). Однако в некоторых случаях директивы управления кэшем (Cache-Control) явно указывают ослабление уровня семантической прозрачности (например, "максимально-просроченный" ("max-stale") или "общий" ("public")).
13.1.4 Явные предупреждения агента пользователя.
Многие агенты пользователя делают возможным для пользователей отменить основные механизмы кэширования. Например агент пользователя может позволить пользователю указать такое поведение, при котором кэшированные объекты (даже явно просроченные) никогда не проверяются на достоверность (are never validated). Либо агент пользователя мог бы добавлять "Cache-Control: max-stale=3600" к каждому запросу. Пользователю следует явно запрашивать как непрозрачное поведение, так и поведение, которое неверно приводит к неэффективному кэшированию.
Если пользователь отменил основные механизмы кэширования, агент пользователя должен явно информировать пользователя всякий раз, когда происходит отображение информации, которая может не удовлетворять требованиям прозрачности сервера (в частности если известно, что отображаемый объект просрочен). Так как протокол обычно позволяет агенту пользователя определить, просрочены ответы или нет, то индикация необходима только тогда, когда это фактически происходит. Это может отображаться не только диалоговым окном, но и иконкой (например, изображением гниющей рыбы) или другим визуальным индикатором.