使用基于表单的身份验证时，http服务器应在401响应中返回什么WWW Authenticate标头？

Question

我有一个web应用程序，其中Javascript部分在浏览器上运行。该前端使用多个HTTPendpoint（或多或少是REST）。前端必须能够区分401和403响应，并且不得接收通常用于人类用户的3xx重定向。

授权通过普通表单登录完成（不涉及Javascript），然后使用会话cookie（用于“REST”和普通请求）。

WWW-Authenticate标头值的正确值是什么？

>

超文本传输协议（HTTP）身份验证方案注册表没有列出任何基于表单的身份验证方案。

另见：

• 不使用HTTP basic auth时HTTP 401未经授权

Answer 1

理论上你应该回应

HTTP/1.x 401 Unauthorized
WWW-Authenticate: cookie; cookie-name=my-session-cookie-name

但是，现实世界的Internet浏览器（用户代理）并不真正支持这一点，根据我的经验，最糟糕的选择是对所有“访问拒绝”、“未经授权”或“不允许”使用HTTP status403。如果您有一个仅使用非浏览器用户代理访问的REST服务，您可以按照规范返回上述标头。

另请注意，如RFC 7231第6.5.4节所述(https://www.rfc-editor.org/rfc/rfc7231#section-6.5.4）服务器可以用404对“拒绝访问”和“未找到”做出响应，因此对于所有用户代理（浏览器和独立客户端），以下内容都可以：

403 Unauthorized or Not allowed

404 Access Denied or Not Found

或者，您可以在任何情况下使用400，因为这会导致浏览器退回到一般错误处理情况。HTTP状态码401尤其有问题，因为它在历史上意味着（至少在实践中）正在使用基本领域认证，并且提交的HTTP头授权未被接受。由于您无法通过常用浏览器的该标头提交会话cookie，因此当您使用cookie进行身份验证时，这些浏览器无法正确处理401。（根据规范，HTTP 401必须包含头文件，该头文件应用于确定用户代理的正确处理方式，但在浏览器中似乎不会发生这种情况。）

Answer 2

由于这种类型的身份验证没有标准挑战，因此您（正如您自己预测的那样）正在发明自己的身份验证。

我认为这里没有指定供应商令牌的标准机制，所以我认为最好的办法是使用一个不太可能与其他任何东西冲突的令牌。

Amazon已经通过AWS做到了这一点，还有很多其他的。我的建议是使用productname-Schemename之类的东西，例如acme-webauth。

Answer 3

WWW-Authenticate标头值的正确值是什么？

当您未使用RFC 7235中描述的HTTP身份验证时，返回401和WWW-Authenticate是没有意义的。在HTTP身份验证中，客户端应使用身份验证方案令牌发送请求的Authoration标头中的凭据。

如果要使用POST发送请求负载中的凭据，则403状态代码更适合指示服务器已拒绝请求。