javascript - iOS 8 在 OAuth 的 401 上显示基本身份验证的弹出窗口

Question

我有一个发布到内部 API 的 JavaScript 应用程序，该 API 是 OAuth2，我们在请求的 header 中包含访问 token :

Authorization:Bearer 2267a056aab4100228a046267bfdfef6c2d73aaec66403eddf854914fa829310

当我们尝试使用过期的 token 发送到 api 时，我们会返回带有此 header 的 401(我们应该这样做):

WWW-Authenticate:OAuth realm='OAuth API', error='expired_token'

但在 iOS 上，这会触发 native “基本身份验证”弹出窗口，要求提供用户名和密码，这不仅是错误的(我很确定)，而且会让我们的用户感到困惑。

有没有办法让 iOS 不做这个弹出？

Answer 1

这似乎与 invalid grant 的错误响应相匹配，并允许 400 错误响应。

https://www.rfc-editor.org/rfc/rfc6749#section-5.2

invalid_grant - The provided authorization grant (e.g., authorizationcode, resource owner credentials) or refresh token isinvalid, expired, revoked, does not match the redirectionURI used in the authorization request, or was issued toanother client.

410 Gone 并不能真正用作响应，因为 token 仍然存在，它只是过期或无效。