jquery - 对父目录(同一领域)的 HTTP 基本身份验证请求在浏览器中有效，但在 AJAX 中无效

Question

在使用 HTTP 基本身份验证时，我在对父目录中的资源进行 jQuery ajax 调用时遇到了一些奇怪的行为。

这里似乎发生了一些我不明白的事情，但我一直无法找到一个好的引用资料来为我提供足够的细节来知道我做错了什么。

任何人都可以指出我缺少的内容，或者指出一些可以帮助我了解浏览器如何决定在 Ajax 请求上发送(或不发送)WWW-Authenticate header 的来源吗？

<小时/>

我的设置如下所示。

Page: https://site.com/d1/d2/page.html (contains a jQuery ajax call to load 'Ajax')Ajax: https://site.com/d3/some_resource.jsonBoth require the same HTTP Basic authentication (with the same realm)

回顾我所看到的行为......

在新的浏览器 session 中请求“页面”时，用户会收到 HTTP 基本登录提示，如果用户提供正确的详细信息，则会加载“页面”。

如果用户尝试在新的浏览器 session 中直接访问“Ajax”，他们也会面临使用相同领域的 HTTP 基本登录的挑战。如果使用与上面相同的详细信息，则会加载 json 内容。

在第一种情况下，我希望成功加载“Page”应该允许“Page”内的 Javascript 代码加载“Ajax”，即使它位于父目录中。

RFC 2617 - HTTP Authentication

The realm value (case-sensitive), in combination with the canonical root URL (the absoluteURI for the server whose abs_path is empty; see section 5.1.2 of [2]) of the server being accessed, defines the protection space.

相反，我看到的是 ajax 调用失败(401 Unauthorized)，并且通过 Firefox 的控制台查看请求，似乎没有发送“WWW-Authenticate” header 。

但是 - 如果用户随后直接在浏览器中加载“Ajax”，则会加载 json 内容(无登录提示)，并且对“Page”的后续请求现在可以成功加载“Ajax”资源。在这种情况下，我预计直接在浏览器中加载“Ajax”不会产生任何影响。

(如果重要的话，我使用 Firefox 30.0 和 jQuery 1.10.2)

Answer 1

这里的问题似乎是身份验证没有与 jQuery 发出的 ajax 请求一起发送，这可以通过 ajax 调用上的 xhrFields 选项轻松修复....通常情况下，如果默认情况下会发送它们您没有跨域工作。 (代理可能会导致这种情况)。

$.ajax({
   xhrFields: {
      withCredentials: true
   }
});

另一个问题可能是 ajax 调用不使用浏览器 session 。要检查是否是这种情况，请查看 jQuery 发送的请求 header 。在这种情况下，此答案中的链接可能会有所帮助:https://stackoverflow.com/a/7189502/1821215