了解401的基本身份验证

Question

我对Web浏览器的基本身份验证有点困惑。我原以为Web浏览器只会在之前的响应中收到HTTP 401状态后发送授权标头。然而，似乎Chrome在之后的每个请求中都发送授权标头。它包含我曾经输入的数据，以响应我网站上的401，并与每条消息一起发送（根据Chrome和我的Web服务器附带的开发人员工具）。这是预期的行为吗？我应该在我的401中使用一些标头来推断不应该缓存授权内容吗？我目前正在使用WWW-身份验证标头。

Answer 1

来自RFC 2617：

如果先前的请求已被授权，则在由认证方案、参数和/或用户偏好确定的一段时间内，相同的凭证可用于该保护空间内的所有其他请求。

根据我的经验，很常见的情况是浏览器会自动为后续请求发送基本凭据。它可以避免为获得额外资源而进行额外的往返。

Answer 2

这是RFC 2617（第2节）中定义的浏览器的预期行为：

A client SHOULD assume that all paths at or deeper than the depth of
the last symbolic element in the path field of the Request-URI also
are within the protection space specified by the Basic realm value of
the current challenge. A client MAY preemptively send the
corresponding Authorization header with requests for resources in
that space without receipt of another challenge from the server.
Similarly, when a client sends a request to a proxy, it may reuse a
userid and password in the Proxy-Authorization header field without
receiving another challenge from the proxy server. See section 4 for
security considerations associated with Basic authentication.

据我所知，基本HTTP身份验证无法执行注销/重新身份验证。这与HTTP基本身份验证缺乏安全性是大多数网站现在使用表单和Cookie进行身份验证解决方案的原因。