html - 未使用身份验证 header 发送脚本请求

Question

我有一个包含基本身份验证的页面。一旦我验证了我对页面的请求，它的资源(CSS 等)就有了 Authentication header

Authorization   Basic NOTREALNOTREALNOTREALNOTREALNOTREAL=

在主体的末尾，我正在加载一个外部脚本。

<script type="module" src="/main.js"></script>

此请求未与身份验证 header 一起发送。这是页面上唯一没有的东西。这会导致带有以下 header 的 401 响应

WWW-Authenticate    Basic realm="mydomain.com"

这在 chrome 和 firefox 中都会发生。

有谁知道为什么会这样或如何发送它？

Answer 1

Looks like this is a quirk of <script type="module"> ，这导致它们都被视为 CORS 请求，因此默认情况下它们不发送身份验证 header 。

这可以通过添加 crossorigin="use-credentials" 来解决。属性到你的脚本标签:

<script type="module" src="/main.js" crossorigin="use-credentials"></script>

应该可以。