http - 对于 401 响应，尤其是对于 REST API，WWW-Authenticate 应该包含什么？

Question

如果凭据不正确或无效，并且我选择使用 401，那么 WWW-Authenticate header 值应该是多少？领域应该是什么，尤其是对于 REST API？

我看到的大多数示例是 WWW-Authenticate: realm="Company website"location="...." 但这更像是浏览器客户端。

Answer 1

WWW-Authenticate 响应头包含“challenge”，challenge 包含的内容取决于您使用的身份验证方案。

如果您使用基本身份验证，则质询仅包含一个字符串“Basic”和一个领域，例如:

WWW-Authenticate: Basic realm="WallyWorld"

如果你使用摘要认证，它应该包括一个字符串“摘要”和许多字段，例如:

WWW-Authenticate: Digest
             realm="testrealm@host.com",
             qop="auth,auth-int",
             nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093",
             opaque="5ccc069c403ebaf9f0171e9517f40e41"

参见 RFC 7235用于 HTTP 身份验证方案和 RFC 2617用于基本和摘要身份验证。