security - 了解基本 WWW 身份验证中 "realm"的用途

Question

我很难理解用于基本 HTTP 身份验证的 WWW-Authenticate header 中“realm”值的用途。

This question 询问“领域”值是什么 - 答案似乎很简单。 “领域”有点像命名空间，表示 protected 资源的集合。

好的，所以我得到了抽象概念。但在实践中，尤其是从 HTTP 客户端的角度来看，“realm”实际上有什么帮助？

通过 HTTP 进行身份验证时，基本工作流程似乎是:

• (1) 服务器以WWW-Authenticate的形式发出质询标题

• (2) 客户端响应 Authorization header ，以及包含用户名和密码的 base64 编码字符串。

• (3) 客户端现在被授予访问权限(如果凭据错误则被拒绝)

那么哪里客户端应该关心服务器发送的“领域”值？

据我了解，如果客户端想要再次访问 protected 资源，唯一需要做的就是再次发送“授权” header 。那么……再次强调一下，“领域”在这一切中是如何发挥作用的？

只是说清楚...我从概念上理解什么是“领域”...我只是看不到 HTTP 客户端在实践中如何使用它。

Answer 1

I just don't see how it's used in practice by HTTP clients.

当领域保持不变时，浏览器不会要求用户提供凭据。因此，如果您登录到提供特定领域值的 http://example.com/ApplicationA，则 http://example.com/ApplicationB 使用相同的领域可以重用用户为应用程序 A 输入的凭据，因为它们的“规范根 URL”是相同的 (http://example.com)，因此浏览器不必弹出凭据表单再次。

不过，浏览器似乎以不同的方式实现了这一点，这取决于 URI 的哪一部分发生了变化，即使领域和规范根 URL 保持不变，一些也会再次请求凭据。