Java 實現 HTTP Basic 認證：Authenticator 機制詳解與最佳實踐

HTTP 認證機制概覽

當服務器返回 401 Unauthorized 並附帶 WWW-Authenticate 頭時，客戶端需提供憑證。兩種主流方案：

• Basic：Base64 編碼 username:password，明文等價，必須配合 HTTPS
• Digest：挑戰-響應機制，密碼不傳輸，安全性較高但實現複雜

Java 內置認證框架：Authenticator

java.net.Authenticator 提供全局認證策略，支持 HTTP/HTTPS/FTP 等協議。核心流程：

1. 設置默認實現：Authenticator.setDefault(new MyAuthenticator())
2. 發起連接：URL.openConnection()
3. 服務器回應 401 → JVM 自動調用 getPasswordAuthentication()
4. 返回 PasswordAuthentication → 自動添加 Authorization 頭重試

標準實現模板

import java.net.*;
import java.io.*;

public class BasicAuthClient {
    static final String USER = "username";
    static final String PASS = "password";
    
    static class BasicAuthenticator extends Authenticator {
        @Override
        protected PasswordAuthentication getPasswordAuthentication() {
            return new PasswordAuthentication(USER, PASS.toCharArray());
        }
    }
    
    public static void main(String[] args) throws Exception {
        // 設置全局認證器（應用啟動時一次性配置）
        Authenticator.setDefault(new BasicAuthenticator());
        
        URL url = new URL("https://api.example.com/protected");
        try (InputStream in = url.openStream();
             BufferedReader reader = new BufferedReader(new InputStreamReader(in, "UTF-8"))) {
            String line;
            while ((line = reader.readLine()) != null) {
                System.out.println(line);
            }
        }
    }
}

進階場景與最佳實踐

1. 多域名/多憑證區分

static class MultiRealmAuthenticator extends Authenticator {
    private final Map credentials = new HashMap<>();
    
    public void addCredential(String host, int port, String realm, String user, String pass) {
        credentials.put(host + ":" + port + ":" + realm, new PasswordAuthentication(user, pass.toCharArray()));
    }
    
    @Override
    protected PasswordAuthentication getPasswordAuthentication() {
        String key = getRequestingHost() + ":" + getRequestingPort() + ":" + getRequestingPrompt();
        return credentials.getOrDefault(key, credentials.get(getRequestingHost() + ":" + getRequestingPort()));
    }
}

2. 預emptive 認證（避免首次 401 往返）

// 手動設置 Authorization 頭
String credentials = Base64.getEncoder().encodeToString((USER + ":" + PASS).getBytes());
HttpURLConnection conn = (HttpURLConnection) url.openConnection();
conn.setRequestProperty("Authorization", "Basic " + credentials);

適用場景：明知需要認證的 API，減少一次網絡往返。

3. 安全加固清單

• 強制 HTTPS：Basic 認證明文傳輸，HTTP 下極不安全
• 憑證外部化：配置文件/環境變量/密鑰管理系統，嚴禁硬編碼
• 字符數組而非字符串：toCharArray() 可主動清零，減少內存洩漏風險
• 超時設置：conn.setConnectTimeout(5000); conn.setReadTimeout(10000);
• 證書驗證：生產環境勿禁用 SSL 驗證

現代替代方案：HttpClient / WebClient

Java 11 HttpClient 示例

HttpClient client = HttpClient.newBuilder()
    .authenticator(new Authenticator() {
        @Override
        protected PasswordAuthentication getPasswordAuthentication() {
            return new PasswordAuthentication(USER, PASS.toCharArray());
        }
    })
    .build();

HttpRequest request = HttpRequest.newBuilder()
    .uri(URI.create("https://api.example.com/protected"))
    .GET()
    .build();

HttpResponse response = client.send(request, HttpResponse.BodyHandlers.ofString());
System.out.println(response.body());

常見問題排查

總結

Java Authenticator 提供了簡潔的聲明式 HTTP 認證支持，適合簡單場景。生產系統建議：使用成熟 HTTP 客戶端庫、強制 HTTPS、外部化憑證管理、實施預emptive 認證優化性能。理解底層 401 握手流程、Realm 機制、Base64 編碼本質，有助於排查認證失敗、安全審計及遷移至現代認證方案（OAuth2、JWT、mTLS）。