Come funziona l'autenticazione http: // utente: [email protected]?

Question

Qualcuno può spiegare come funziona l'autenticazione http://user:pass@host.com? Il browser invia l'intestazione Authorization con user:pass codificata in base 64?

Ho aperto la console di rete negli strumenti di sviluppo di Chrome e quando faccio richiesta come http://user:pass@stackoverflow.com non vedo l'intestazione Authorization aggiunta.

Sono davvero curioso di sapere come il browser invia la password nel caso io usi user:pass@ di fronte a un URL.

Answer 1

Per ispezionare le intestazioni, è necessario eseguire il test su un server che richiede l'autenticazione. Il client non invierà alcuna intestazione Authorization fino a quando il server non lo richiederà poiché il client non saprà quale metodo di autenticazione richiede il server (base o digest).

---

autenticazione HTTP è fatto in due richieste:

In primo luogo, un annuncio senza nessun Authorization intestazione viene inviato. Il server risponde quindi con un WWW-Authenticate che indica al client come autenticarsi. Questo include un nome di dominio e un metodo di autenticazione (anche questo è di base o digest)

Il client invia quindi una nuova richiesta con un'intestazione aggiuntiva Authorization. Nel caso di basic authentication, questa intestazione è a soli user:pass Base64 codificati, proprio come si sta dicendo:

Authorization: Basic dXNlcjpwYXNz 

Ora la password è visibile in transito, a meno che non si utilizza HTTPS. Un'opzione migliore è digest authentication, in cui i contenuti di entrambi gli aspetti WWW-Authenticate e Authorization vengono spiegati meglio con lo wikipedia article. :)