Podstawowe uwierzytelnianie HTTP - jakie jest oczekiwane działanie przeglądarki internetowej?

Kiedy serwer zezwala na dostęp za pośrednictwem podstawowego uwierzytelniania HTTP, czego oczekuje się w przeglądarce internetowej ?

Ignorując przez chwilę przeglądarkę internetową, oto jak utworzyć żądanie autoryzacji podstawowej za pomocą curl:

curl -u myusername:mypassword http://somesite.com

A co z przeglądarką internetową? Widziałem na niektórych stronach internetowych, że odwiedzam adres URL, a następnie serwer zwraca kod odpowiedzi 401. Przeglądarka wyświetla następnie monit o podanie nazwy użytkownika / hasła.

Jednak w witrynie somesite.com w ogóle nie pojawia się monit o autoryzację, tylko strona z informacją, że nie mam autoryzacji. Czy ktoś nie poprawnie zaimplementował przepływ pracy Podstawowego uwierzytelniania lub jest coś innego, co muszę zrobić?

Aby pomóc wszystkim uniknąć nieporozumień, przeformułuję pytanie w dwóch częściach.

Po pierwsze: „jak wykonać uwierzytelnione żądanie HTTP za pomocą przeglądarki przy użyciu uwierzytelniania BASIC?” .

W przeglądarce możesz najpierw wykonać uwierzytelnianie podstawowe HTTP, czekając na monit, lub edytując adres URL, jeśli zastosujesz ten format: http://myusername:[email protected]

Uwaga: polecenie curl wspomniane w pytaniu jest całkowicie w porządku, jeśli masz zainstalowany wiersz poleceń i curl. ;)

Bibliografia:

• https://en.wikipedia.org/wiki/Basic_access_authentication#URL_encoding
• https://en.wikipedia.org/wiki/Uniform_Resource_Locator#Syntax
• https://tools.ietf.org/html/rfc3986#page-18

Również zgodnie ze stroną podręcznika CURL https://curl.haxx.se/docs/manual.html

HTTP

  Curl also supports user and password in HTTP URLs, thus you can pick a file
  like:

      curl http://name:[email protected]/full/path/to/file

  or specify user and password separately like in

      curl -u name:passwd http://machine.domain/full/path/to/file

  HTTP offers many different methods of authentication and curl supports
  several: Basic, Digest, NTLM and Negotiate (SPNEGO). Without telling which
  method to use, curl defaults to Basic. You can also ask curl to pick the
  most secure ones out of the ones that the server accepts for the given URL,
  by using --anyauth.

  NOTE! According to the URL specification, HTTP URLs can not contain a user
  and password, so that style will not work when using curl via a proxy, even
  though curl allows it at other times. When using a proxy, you _must_ use
  the -u style for user and password.

Drugie i prawdziwe pytanie brzmi: „Jednak na stronie somesite.com w ogóle nie pojawia się monit o autoryzację, tylko strona z informacją, że nie mam autoryzacji. Czy ktoś nie zaimplementował poprawnie przepływu pracy Basic Auth, czy jest coś jeszcze muszę to zrobić? ”

Dokumentacja curl mówi, że -uopcja obsługuje wiele metod uwierzytelniania, przy czym Basic jest domyślny.

Czy próbowałeś ?

curl somesite.com --user username:password

Być może Twoja stara nazwa użytkownika / hasło są buforowane w przeglądarce. Spróbuj je wyczyścić i sprawdź ponownie.

Jeśli korzystasz z IE, a somesite.com znajduje się w strefie bezpieczeństwa intranetu, IE może automatycznie wysyłać poświadczenia systemu Windows.

Nagłówek uwierzytelniania WWW

Możesz to również uzyskać, jeśli serwer wysyła kod odpowiedzi 401, ale nie ustawia poprawnie nagłówka uwierzytelniania WWW - powinienem wiedzieć, właśnie to naprawiłem w swoim własnym kodzie, ponieważ aplikacje VB nie wyświetlały monitu o uwierzytelnienie.

Jeśli w nagłówkach żądania nie podano poświadczeń, poniżej podano minimalną odpowiedź wymaganą dla IE, aby poprosić użytkownika o poświadczenia i ponownie przesłać żądanie.

Response.Clear();
Response.StatusCode = (Int32)HttpStatusCode.Unauthorized;
Response.AddHeader("WWW-Authenticate", "Basic");

Możesz użyć Postmana we wtyczce do chrome. Daje to możliwość wyboru rodzaju uwierzytelnienia potrzebnego dla każdego żądania. W tym menu możesz skonfigurować użytkownika i hasło. Listonosz automatycznie przetłumaczy konfigurację na nagłówek uwierzytelnienia, który zostanie wysłany z Twoim żądaniem.