È possibile utilizzare l'autenticazione del digest con un XMLHTTPRequest?

Question

Ho una semplice domanda: è possibile utilizzare l'autenticazione del digest con un XMLHTTPRequest?

Se la risposta è no, qual è il motivo tecnico? O se è possibile - come posso farlo?

Grazie mille ... Google non ha alcuna buona risposta finora: -/

EDIT:

Grazie per le risposte. La modifica dell'intestazione in modo che corrisponda allo schema di autenticazione del digest, dopo che è stato ricevuto un nonce, sembra essere una soluzione.

Ma quello che stavo veramente cercando era che potevo cambiare la mia chiamata corrente: xmlhttp.open ("GET", url, false, username, password); a sth. come xmlhttp.open ("GET", url, false, username, password, "DIGEST");

Fa parte anche della mia domanda iniziale: perché il metodo aperto non offre l'opzione per effettuare una richiesta di digestione?

Forse c'è js-lib che uno potrebbe raccomandare che mi permetta di farlo - come immagini che non voglio davvero cambiare l'unico e semplice xmlhttp.open a più richieste e prima ottenere un nonce.

Answer 1

Si può fare senza problemi. Basta seguire le parti delle specifiche che ritieni;)
http://tools.ietf.org/html/rfc2617
ed è tutto ciò che ti manca per iniziare a scrivere la tua libreria di autenticazione
http://pajhome.org.uk/crypt/md5/
sul lato client.

nome utente e password pre-scambio
Hey voglio autenticazione ----> Server
Ok ecco un nonce/sale ----> cliente
ecco un hash md5 somma di mio nome utente password timestamp e il sale -----> server
Ho appena inserito la password e il nome utente nello stesso modo in cui hai fatto e sono gli stessi -----> client
Quelle sono le basi di esso.

Ho omesso che è necessario includere l'URI della risorsa richiesta nell'hashsum !!!!
Ovviamente lo fai ad ogni richiesta che fai per una risorsa al server in questo modo qualcuno che intercetta l'hash può solo visualizzare il contenuto richiesto e non può effettuare una richiesta per una risorsa miscellanea. Questo metodo non protegge i dati basta accedervi.

Answer 2

Il modo migliore per farlo è utilizzare SSL. Non penso che esista un'altra soluzione sicura (correggimi se sbaglio)

Answer 3

Dai un'occhiata a questo articolo: http://marcin-michalski.pl/2012/11/01/javascript-digest-authentication-restful-webservice-spring-security-javascript-ajax/. Spiega come eseguire il client JavaScript per l'autenticazione del digest con SpringSecurity sul lato server. Il codice è disponibile in github: https://github.com/Arrowgroup/JSDigestAuth

Answer 4

Ho codificato un flusso di lavoro completo per questo, non è affatto difficile una volta che si utilizza una libreria esterna per MD5 (utilizzo Crypto-js).

Il problema più grande che si può avere è che sul primo server 401 risponde che uno dei browser più utilizzati aprirà una finestra di dialogo per ottenere le credenziali.Per quanto ho visto non c'è un modo semplice per aggirare questo: How can I supress the browser's authentication dialog?

Per risolverlo, ho modificato il server web che ho codificato da un progetto C# codeplex. Alla prima richiesta il cliente passa un'intestazione "Avvertenza" che dice "Non aumentare un 401". Il server crea la sfida e la rimanda con una HttpException non-401 personalizzata (io uso 406 per il momento, che è "non accettabile" in HTTP). Il client crea l'hash e lo invia di nuovo.

Posso inserire alcuni frammenti di codice se qualcuno è interessato, questa è una specie di vecchia domanda.