javascript - 在请求 header 中设置基本授权详细信息

Question

在我们的应用程序中，我们验证用户名/密码。验证完成后，凭证将使用 Base64 进行编码，然后需要在请求 header 中设置以供后续的其余调用。

需要在请求 header 中设置如下。

Authorization:Basic AQNLzR69OFTNJE8X

在java代码的响应设置中，

javax.ws.rs.core.Response.status(200).entity("").header("Authorization:","Basic AQNLzR69OFTNJE8X").build();

并在 JavaScript 中尝试设置如下，

sessionStorage.setItem('Authorization:', 'Basic AQNLzR69OFTNJE8X');

但是在同一 session 中的后续其余服务调用中可以看到 header 请求未设置授权。请求提供一些有关在 javascript 中设置授权的指示，以便在整个 session 中保留它。

Answer 1

我认为您误解了身份验证的工作原理(或应该工作)。您应该在身份验证期间仅发送一次 Authorization header 。如果身份验证成功，服务器会向您发送回一个 session cookie，并且您的 session 将被标记为已通过身份验证(服务器端)。您永远不会发回 header 的内容，也不必在每个请求中都发送它。

1) 不会自动添加 Authorization header 。但cookie会自动发送。

2) 您不应发送凭证并返回它们:出于安全目的，您希望尽可能少地传输它们。

3)您不想将凭证存储在 sessionStorage 中，我不知道这是否是密码的安全位置(我对此表示怀疑)，但在这里，密码仅以 B64 进行编码，并且它是可逆的。所以它和明文一样(这对密码来说是不好的)。

希望这有帮助!