Authorization 헤더

Authorization 헤더(Authorization Header)는 HTTP 요청에 인증 정보를 담아 서버로 보내는 헤더입니다. 접근 허용은 서버의 검증과 권한 확인에 달려 있습니다. 클라이언트는 보호된 자료를 요청할 때 인증 방식과 그 방식에 맞는 자격 증명을 이 헤더에 담으며, 서버가 요구하는 인증 방식에 따라 값의 형식이 달라집니다.

헤더 이름과 인증 방식

HTTP 헤더는 요청 본문과 별도로 요청을 해석하는 데 필요한 정보를 전달합니다. 그중 Authorization 헤더는 서버가 클라이언트를 인증할 수 있도록 자격 증명을 제공하는 역할입니다. 화면에 로그인 폼이 보이지 않는 API 요청에서도 이 헤더를 통해 인증 정보를 보낼 수 있습니다. 헤더의 이름은 일정하지만 그 안에 담는 값의 형식은 인증 방식에 따라 달라집니다.

값은 일반적으로 인증 방식의 이름과 그 방식에 필요한 정보로 구성됩니다. Basic이나 Bearer가 방식의 이름에 해당합니다. 같은 문자열을 어느 이름 뒤에 붙이든 통하는 것은 아니며, 서버가 지원하는 방식과 값의 형식이 맞아야 합니다. Authorization은 인증 정보를 담는 필드이고, 뒤에 오는 방식 이름은 그 정보를 어떻게 해석할지를 알려 줍니다.

예를 들어 Bearer 토큰 명세는 Authorization 값에 Bearer와 접근 토큰을 넣는 방식을 정합니다. 이때 Bearer라는 단어가 토큰 자체는 아닙니다. Basic은 다른 규칙을 따르므로 Bearer용 토큰을 Basic 자격 증명처럼 처리할 수 없습니다. API 문서에서 인증 예시를 읽을 때도 헤더 이름, 방식 이름, 실제 자격 증명을 서로 구분해야 합니다.

인증 요구와 접근 판단

보호된 자료를 인증 정보 없이 요청하면 서버는 401 응답과 WWW-Authenticate 헤더로 사용할 인증 방식을 알릴 수 있습니다. 클라이언트는 그 요구에 맞는 정보를 Authorization에 담아 다시 요청합니다. HTTP 명세는 이런 흐름을 설명하면서, Authorization 전송에 앞서 반드시 401 응답을 받아야 하는 것은 아니라고 명시합니다. 필요한 정보를 이미 아는 클라이언트는 처음부터 보낼 수 있습니다.

WWW-Authenticate와 Authorization은 방향과 역할이 다릅니다. 앞의 헤더는 서버가 어떤 인증을 요구하는지 알리는 응답이고, 뒤의 헤더는 클라이언트가 인증 정보를 제출하는 요청입니다. 서버가 보낸 인증 요구를 그대로 요청 헤더에 복사하는 방식이 아니라, 클라이언트가 그 요구에 맞는 자격 증명을 준비하는 과정입니다.

자격 증명이 유효한지와 해당 자료에 접근할 수 있는지는 별도의 판단입니다. HTTP 명세는 유효한 자격 증명을 제시했더라도 접근 권한이 충분하지 않으면 403으로 응답하도록 권고합니다. 오류를 볼 때는 헤더의 누락이나 형식 문제뿐 아니라 권한 부족도 구별해야 합니다. 401과 403이라는 이름만 보고 두 상태를 모두 비밀번호 오류라고 해석할 수는 없습니다.

전송 대상과 보호 조건

Authorization에 담긴 값은 인증에 쓰이므로 전송 중 보호가 필요합니다. 특히 Bearer 명세는 토큰을 가진 쪽이 사용할 수 있다는 성질 때문에 TLS 사용을 요구합니다. 헤더라는 위치 자체가 암호화 기능을 제공하는 것은 아닙니다. 요청 본문 대신 헤더에 넣었다는 이유만으로 도청이나 노출 문제까지 해결됐다고 볼 수는 없습니다.

브라우저 요청이 다른 주소로 이동할 때도 자격 증명의 전달 범위가 문제가 됩니다. MDN은 다른 출처로 리디렉션되는 요청에서 이 헤더가 제거된다고 설명합니다. 인증 정보를 원래 의도한 서버 밖으로 무작정 전달해서는 안 되기 때문입니다. 처음 보낸 요청에 헤더가 있었더라도 이동 후 요청까지 같은 값이 유지된다고 가정할 수는 없습니다.

프록시 서버에 자신을 인증하는 Proxy-Authorization도 이름은 비슷하지만 대상이 다릅니다. HTTP 명세는 Authorization을 원 서버 인증에, Proxy-Authorization을 인증을 요구하는 프록시에 사용하는 필드로 구분합니다. 어떤 서버가 인증을 요구했는지에 따라 사용할 헤더가 달라집니다. 인증 오류를 해석할 때 요청이 향하는 최종 서비스와 중간 프록시를 구별하는 이유입니다.