http-authentication - 确定 Web http 身份验证方法

Question

您如何确定 REST Web 服务是使用 Basic、Kerberos、NTLM 还是许多其他身份验证方法之一？

Answer 1

当您发送未经身份验证的请求时，服务必须以“HTTP/1.1 401 Unauthorized”作为响应，并且响应包含 WWW-Authenticate header 指定预期的身份验证方案( Basic ， Digest )、安全领域和任何其他特定值(如 Digets 的随机数)。因此，如果服务器响应:

HTTP/1.0 401 Unauthorized
WWW-Authenticate: Digest realm="example.com",
                        qop="auth,auth-int",
                        nonce="...",
                        opaque="..."

它需要摘要式身份验证。如果响应如下所示:

HTTP/1.0 401 Unauthorized
WWW-Authenticate: Basic realm="example.com"

然后它需要基本身份验证。一些(较差的)实现的服务器/站点不能正确处理基本并直接响应 403 Forbidden 而不是首先挑战。

NTLM 类似，因为服务器用 401 和 WWW-Authenticate header 进行响应，其值为 NTLM ，但没有官方公开规范，因为它是 Microsoft 专有的。有各种 reverse engineered说明。

不幸的是，REST 没有提供 WSDL 样式的服务描述来发现先验使用的身份验证方案。