在REST API中自定义使用Authorization标头

我正在构建一个REST api，其中使用客户端证书对客户端进行身份验证。在这种情况下，客户端不是单个用户，而是某种表示层。使用自定义方法对用户进行身份验证，表示层有责任确保此方法正确完成（注意：我知道这不是正确的方法，但api不公开）。

我想传递每个请求的用户名（而不是密码），但是我不确定在哪里执行此操作。使用Authorization标头是个好主意吗？

使用Authorization标头似乎是正确的事情。这是Authorization标头的全部用途。

从http://tools.ietf.org/html/rfc7235#section-4.2：

“授权”标头字段允许用户代理通过源服务器对自身进行身份验证-通常但不一定是在收到401（未经授权）响应之后。它的值由凭证组成，凭证包含用于所请求资源领域的用户代理的身份验证信息。

如果您有自己的身份验证方案文档，则无需重新发明轮子。

我不建议您非标准地使用标准HTTP标头。主要是因为它可能会误导其他知道AuthoriziationHTTP身份验证应如何使用标头的开发人员，而且还可以避免堆栈中其他部分对同一请求标头的意识有冲突的任何潜在问题。

无论如何，都没有阻止您使用自定义非标准标X-Authorization-User头的专用信息。