rest - 使用基于表单的身份验证时，http 服务器应该在 401 响应中返回什么 WWW-Authenticate header ？

Question

我有一个 Web 应用程序，其中包含在浏览器上运行的 Javascript 部分。该前端使用多个 HTTP 端点(或多或少的 REST)。前端必须能够区分 401 和 403 响应，并且不得接收通常用于人类用户的 3xx 重定向。

授权是通过普通表单登录完成的(那里不涉及 Javascript)，然后使用 session cookie(用于“REST”和普通请求)。

WWW-Authenticate header 值的正确值是多少？

• 来自 RFC 7235 :“生成 401(未经授权)响应的服务器必须发送包含至少一个挑战的 WWW-Authenticate header 字段。”

• Hypertext Transfer Protocol (HTTP) Authentication Scheme Registry没有列出任何基于表单的身份验证方案。

另见:

• HTTP 401 Unauthorized when not using HTTP basic auth?
• Authorization in RESTful HTTP API, 401 WWW-Authenticate

Answer 1

What would be a correct value for the WWW-Authenticate header value?

没有必要返回 401和 WWW-Authenticate当您没有按照 RFC 7235 中的说明使用 HTTP 身份验证时.在 HTTP 身份验证中，客户端应在 Authorization 中发送凭据带有 authentication scheme 的请求 header token 。

如果您想使用 POST 在请求负载中发送凭证, 403状态码你更适合表示服务器拒绝了请求。