http-headers - HTTP 401 - 合适的 WWW-Authenticate header 值是什么？

Question

我目前正在处理的应用程序有一个 session 超时值。如果用户没有交互的时​​间超过此值，他们尝试加载的下一个页面将提示他们登录。

所有发出的请求都通过此机制进行路由，其中​​包括 AJAX 调用。最初，我们通过登录页面发送 200 header ，这引入了 AJAX 的一些问题，因为如果发送 200 响应，代码就会运行，并且从这些 RPC 调用发回的大多数数据是 JSON 或原始 JavaScript，它们会被评估(不要问:|)。

我建议 401 更好，因为我们的 JSON 解析器不会尝试使用 HTML 登录页面..:)

何时 reading the spec但是，我注意到还必须发送 WWW-Authenticate 字段。

该字段的良好值(value)是什么？ 应用程序登录就足够了吗？

Answer 1

当指示 HTTP 基本身份验证时，我们返回如下内容:

WWW-Authenticate: Basic realm="myRealm"

而Basic 是方案，其余部分很大程度上取决于该方案。在这种情况下，领域只是向浏览器提供一个文字，可以在提示输入用户 ID 和密码时向用户显示。

您显然没有使用 Basic，但是因为使用 Basic Auth 时 session 过期是没有意义的。我假设您正在使用某种形式的基于表单的身份验证。

据我记忆，Windows 挑战响应使用了不同的方案和不同的参数。

诀窍在于，由浏览器决定它支持哪些方案以及如何响应它们。

如果您使用基于表单的身份验证，我的直觉是保留 200 + 重新登录页面，但添加浏览器将忽略但 AJAX 可以识别的自定义 header 。

要获得真正良好的用户 + AJAX 体验，请让脚本挂起发现 session 已过期的 AJAX 请求，通过弹出窗口触发重新登录请求，并在成功后重新提交原始 AJAX 请求并继续正常。

避免作弊行为，即让脚本每 5 分钟访问一次网站，以保持 session 处于事件状态，因为这只会破坏 session 到期点。

另一种选择是刻录 AJAX 请求，但用户体验很差。