Как правильно передать токен авторизации в HTTP-запросе?

Как правильно передать токен авторизации в HTTP-запросе?

• область: API, HTTP, аутентификация
• наиболее распространённый вариант — заголовок: Authorization
• схема: Bearer <token> — стандарт OAuth 2.0
• альтернативные способы: query-параметр (небезопасно) или тело запроса (POST)
• при использовании HTTPS заголовок обеспечивает безопасную передачу
• сервер получает токен и проверяет предоставленные права
• подход применяется во всех REST/GraphQL API
• поддерживает стейтлес-архитектуру и стандартизованную авторизацию

Итого: оптимальный и наиболее распространённый способ — передать Bearer-токен в HTTP-заголовке Authorization.

Подробный ответ

Основной ответ

Обычно токен авторизации включают в HTTP-запрос через заголовок Authorization. После указания схемы авторизации передают сам токен, например, Bearer. Этот способ стандартизирован и поддерживается большинством систем. Передача токена в URL-параметрах или в теле запроса также возможна, однако такие варианты менее безопасны и применяются значительно реже.

Ключевые моменты

• Authorization header: стандартная схема — Authorization: Bearer <token>. Такой заголовок удобен, поскольку именно его корректно обрабатывают браузеры и прокси.
• Безопасность: заголовок позволяет не размещать токен в URL, содержимое которого может попасть в логи, а также снижает риск утечки через referer.
• Альтернативы: в отдельных случаях токен хранят в куках (с HttpOnly для защиты от XSS) либо передают в query-параметрах — например, в публичных API, хотя это связано с риском перехвата.

Практический контекст

В API, использующих OAuth2 или JWT-подобные токены, обычно применяют Authorization: Bearer <token>. В React-приложениях токен можно автоматически добавлять с помощью interceptor Axios или fetch, сохраняя единообразие и безопасность. При работе с WebSocket аутентификацию иногда передают через параметры initial connection либо отправляют отдельным сообщением после установления соединения.