Wo genau in der HTTP-Anfrage sollten die Authentifizierungsdaten wie Benutzername und Passwort angegeben werden?

Authentifizierungsdaten wie Benutzername und Passwort werden in der Regel im HTTP-Header Authorization übertragen. Die gebräuchlichste Methode ist die Verwendung des Schemas Basic Authentication, bei dem Benutzername und Passwort in Base64 codiert und im Header übertragen werden:

Authorization: Basic base64(login:password)

Zum Beispiel, wenn der Benutzername user und das Passwort pass ist, lautet die zu codierende Zeichenkette user:pass.

Beispiel in Android mit HttpURLConnection:

String credentials = "user:pass";
String auth = "Basic " + Base64.encodeToString(credentials.getBytes(), Base64.NO_WRAP);
connection.setRequestProperty("Authorization", auth);

Das Übertragen von Benutzername und Passwort im Body der Anfrage oder in der URL (z.B. in GET-Parametern) wird aus Sicherheitsgründen nicht empfohlen.