url - 没有浏览器在标题中发送授权信息

Question

我在看 this和 this并且在 URL 中发送凭据似乎很“容易”。例如:

http://gooduser:secretpassword@www.example.com/webcallback?foo=bar

这一切都很好，但它不起作用。我已经打开了 fiddler，对于 Chrome，我打开了 Authorization header 未发送。对于其他浏览器，它似乎表现出相同的行为(我在服务器上有一个断点，Firefox、Safari 或 IE 也没有出现 Authorize header )

如何让它变得更好？

Answer 1

在研究各种基本身份验证实现时偶然发现了这一点。

浏览器通常仅在收到 401 时才发送基本身份验证来自服务器的质询响应 ( more on basic auth protocol )。如果有问题的端点同时接受经过身份验证和未经身份验证的用户，则可能永远不会提示基于浏览器的请求提供身份验证参数。

测试此类设置的最简单方法是向您的服务器端点发送 curl 请求(无论如何都会发送身份验证参数)并验证是否收到 authorization标题:

curl 'http://gooduser:secretpassword@www.example.com/webcallback?foo=bar'