security - 使用 url 中的用户名/密码的 Apache 基本身份验证

Question

我正在使用 php 将用户重定向到受 apache 基本身份验证保护的目录。我使用以下 url 格式自动将用户登录到此目录:

http://username:password@www.somewebsite.com/protected .

这在除 IE 之外的所有浏览器中都可以正常工作，IE 不再支持在 url 中传递用户名/密码。

Web 应用程序是否有另一种方法可以自动将用户登录到受 apache 基本身份验证保护的目录？

更新:如果可能，请忽略使用 apache basic auth 和 http 的固有缺点，除非您能够提供解决此问题的可行替代方法...即我如何自动记录一个用户进入 protected 目录。这适用于已经在使用 apache 基本身份验证的客户端。谢谢 :)

Answer 1

Microsoft 有一个 detailed explanation of this issue在他们的知识库中包括不同的解决方法。这应该能让您有个好的开始。

请同时查看我关于将 HTTP 与基本身份验证混合使用的评论。如果安全是个问题，您通常不想这样做。始终使用 HTTPS，因为基本身份验证未加密。