http - 选项请求身份验证

Question

我正在开发一个网络应用程序。它正在使用基本身份验证。它必须处理 OPTIONS 请求。这些是 Web 浏览器预检请求以及来自 WebDAV 客户端的功能支持请求。

据我了解，必须在不请求身份验证的情况下处理 OPTIONS 请求(即我的服务器不应以 401 未授权响应)，它必须给出如下响应:

OPTIONS https://localhost:44305/path/file.ext HTTP/1.1
Connection: Keep-Alive
User-Agent: some app
Host: localhost:44305

HTTP/1.1 200 OK
Content-Length: 0
DAV: 1, 2, 3
Date: Fri, 27 Dec 2013 17:10:21 GMT

我的问题是:无论 URL 是什么，我是否应该始终对 OPTIONS 请求提供相同的响应，还是应该取决于 URL。

例如，如果找不到上例中的 file.ext，我应该回复“404 Not found”还是“200 OK”？

Answer 1

来自 http://www.w3.org/Protocols/rfc2616/rfc2616-sec9.html :

The OPTIONS method represents a request for information about the communication options available on the request/response chain identified by the Request-URI. This method allows the client to determine the options and/or requirements associated with a resource, or the capabilities of a server, without implying a resource action or initiating a resource retrieval.

因此 OPTIONS 可能特定于服务器，也可能特定于资源，这取决于您的应用程序。如果您使用跨源资源共享(CORS，例如尝试将 XMLHttpRequest 发送到另一台服务器)，它将发送一个 OPTIONS 请求以检查服务器是否期望跨源请求特定资源，然后再执行POST 请求。因此，在这种情况下，OPTIONS 的行为应该特定于资源。对于 WebDAV，特定于服务器的 OPTIONS 可能就足够了，因为客户端这样做只是为了检查允许的方法(例如，如果支持 WebDAV 方法)。