Bearer 令牌

持有者令牌以`Authorization: Bearer <token>`在 Authorization 请求头中发送，仅通过提供令牌即可授权请求。请求本身无需签名，也无法证明发送者就是令牌的接收方：令牌本身就是完整的凭证，这正是"bearer"含义。

工作原理

服务器会验证令牌——通过查找令牌本身，或者如果令牌是自包含的（例如 JWT），则通过验证签名——并从中推断出调用者的身份和权限。令牌缺失或无效会返回 401 错误。如果令牌有效但持有者没有执行此特定操作的权限，则会返回 403 错误；两者之间的区别至关重要，因为只有其中一种错误可以通过获取新令牌来解决。

误解

持有者令牌可以安全地放在 URL 中，因为它会过期。URL 中的任何内容最终都会被记录在服务器日志、浏览器历史记录、引用页标头和分析数据中。持有者令牌应该放在 TLS 加密的标头中，并具有较短的有效期和刷新机制。

点击这里试试

每个带有锁标记的端点都需要`qa-admin-token`或`qa-viewer-token` 。在 DELETE 请求中使用 viewer token 是区分 401 和 403 错误最清晰的方法：token 有效，但请求仍然被拒绝。

相关内容

• 测试 OAuth 2.0、JWT 和令牌过期时间
• HTTP 401 Unauthorized
• HTTP 403 Forbidden

资料来源

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

其他术语

• JWT（JSON Web Token） — 以签名 JWS 或加密 JWE 形式表示声明的紧凑格式。
• JWKS — JSON Web 密钥集——发行者发布的公钥，以便任何人都可以验证其签名的代币。
• 刷新令牌 — 仅用于获取新的短期访问令牌的长期凭证，无需用户再次登录。
• OAuth 2.0 — 该标准框架允许应用程序获取有限的访问令牌，而不是处理用户的密码。
• PKCE — 代码交换证明密钥——一次性密钥，可防止被盗的 OAuth 授权码被其他人兑换。
• OpenID Connect — 在 OAuth 2.0 之上的身份层，通过签名 ID 令牌告诉客户端用户是谁。

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间 2026年10月16日