您可以在 URL 参数中为 HTTP 基本身份验证传递用户/密码吗？

Question

我相信这是不可能的，但我认识的人坚持认为它有效。我什至不知道要尝试哪些参数，而且我还没有在任何地方找到此文档。

我试过http://myserver.com/~user=username&password=mypassword但它不起作用。

您能否确认实际上不可能通过 HTTP 参数（GET 或 POST）传递用户/密码？

Answer 1

确实不可能通过标准 HTTP 身份验证中的查询参数传递用户名和密码。相反，您使用特殊的 URL 格式，如下所示：http://username:password@example.com/-- 这会在标准 HTTP“授权”标头中发送凭据。

有可能与您交谈的人正在考虑查看查询参数并验证凭据的自定义模块或代码。不过，这不是标准的 HTTP 身份验证，而是特定于应用程序的事情。

Answer 2

http://username:password@example.com适用于 FireFox、Chrome、Safari 但不适用于 IE。

微软知识库

Answer 3

不推荐在 URL 中传递基本身份验证参数

为此，有一个 Authorization 标头字段，请在此处检查： http header list

使用方法写在这里： Basic access authentication

您还可以在那里阅读，尽管某些浏览器仍然支持它，但不建议在 url 中添加基本授权凭据的建议解决方案。

另请阅读RFC 2617 - HTTP 身份验证中的第 4.1 章，了解有关为什么不使用基本身份验证的更多详细信息。

在查询字符串中传递身份验证参数

使用 OAuth 或其他身份验证服务时，您通常还可以在查询字符串中而不是在授权标头中发送访问令牌，例如：

GET https://www.example.com/api/v1/users/1?access_token=1234567890abcdefghijklmnopqrstuvwxyzABCD