Swagger中Basic Auth结合HTTPS实现安全请求的疑问

结论先行 #

完全可以通过Basic Auth + HTTPS实现安全请求，Swagger里securitySchemes设置type: http和HTTPS传输没有冲突，两者管的是不同层面的事情。

为什么type: http不影响HTTPS安全？ #

• Swagger的type: http只是定义认证的机制类型——这里是HTTP基础认证，它的作用是告诉Swagger UI要把用户名密码转成Base64编码后放到请求头里，和传输用HTTP还是HTTPS没关系。
• HTTPS负责的是整个请求链路的加密，包括Basic Auth的那串Base64字符串，都会被SSL/TLS加密传输。这时候和表单POST提交密码的安全性是等价的——所有数据都是加密过的，不会被明文截获。

确保Swagger UI「Try it out」用HTTPS的方法 #

• 首先保证你的Swagger UI是通过HTTPS部署的，浏览器里打开Swagger页面的地址是https://xxx，那「Try it out」发送的请求会自动用HTTPS（和当前页面同协议）。
• 如果API服务器只支持HTTPS，直接在Swagger配置的servers里指定HTTPS地址，避免协议混淆：

  servers:
    - url: https://your-api-domain.com/api/v1
  

额外提醒 #

Basic Auth本身的Base64编码是可逆的，但这只在明文传输时危险。在HTTPS环境下，整个请求都被加密，第三方根本拿不到那串Base64字符串，所以安全性和表单POST提交敏感信息是一个级别的，不用担心。

内容的提问来源于stack exchange，提问作者Diogo Correia