¿Cómo funciona la autenticación http: // usuario: [email protected]?

Question

¿Alguien puede explicar cómo funciona la autenticación http://user:pass@host.com? ¿El navegador envía el encabezado Authorization con user:pass codificado en base 64?

Abrí la consola de red en las herramientas de desarrollador de Chrome y cuando lo solicito como http://user:pass@stackoverflow.com no veo que se agregue el encabezado Authorization.

Tengo mucha curiosidad por cómo el navegador envía la contraseña en caso de que use user:pass@ frente a una URL.

Answer 1

Para inspeccionar los encabezados, debe probar contra un servidor que requiera autenticación. El cliente no enviará ningún encabezado Authorization hasta que el servidor lo solicite, ya que el cliente no sabrá qué método de autenticación requiere el servidor (básico o resumido).

---

autenticación HTTP se realiza en dos solicitudes:

En primer lugar, una solicitud sin los encabezados de Authorization se envía. El servidor responde con un WWW-Authenticate que le dice al cliente cómo autenticarse. Esto incluye un nombre de dominio y un método de autenticación (de nuevo, esto es básico o digestivo)

El cliente envía una nueva solicitud con un encabezado Authorization adicional. En el caso de basic authentication, esta cabecera es sólo user:pass base64, al igual que usted está diciendo:

Authorization: Basic dXNlcjpwYXNz 

Ahora la contraseña es visible en tránsito, a menos que utilice HTTPS. Una mejor opción es digest authentication, donde los contenidos de WWW-Authenticate y Authorization se explican mejor por wikipedia article. :)