http - 浏览器什么时候自动发送 Authorization header ？

Question

我想知道浏览器何时自动发送 Authorization header ，何时不发送。

通过阅读几篇文章并进行试验，我发现浏览器只发送凭据:

• 当使用 Basic 身份验证时，并且仅当用户直接在浏览器窗口中输入用户名和密码时(而不是，例如，如果它们是在 XMLHttpRequest 中提供的)。
• 使用NTLM 身份验证时

我想找到一份说明浏览器何时应该和不应该自动发送 header 的文档(类似于规范文档)。我对 OAuth 和 Bearer Authorization header 类型特别感兴趣。

Answer 1

通常 Web 浏览器在收到 401 响应时发送 Authorization header 。 RFC 7235 “超文本传输​​协议(protocol) (HTTP/1.1):身份验证"说:

The "Authorization" header field allows a user agent to authenticate itself with an origin server -- usually, but not necessarily, after receiving a 401 (Unauthorized) response.

如果您要查找 HTTP 身份验证规范，请参阅 "Hypertext Transfer Protocol (HTTP) Authentication Scheme Registry"其中提供了身份验证方案列表和引用资料。