什么时候浏览器会自动发送Authorization标头？

Question

我想知道什么时候Authorization浏览器自动发送标题,什么时候不是.

通过阅读几篇帖子并进行实验,我发现浏览器只发送凭据:

• 使用Basic身份验证时,并且仅当用户直接在浏览器窗口中输入用户名和密码时(例如,如果它们是在XMLHttpRequest中提供的话).
• 使用NTLM身份验证时

我想找到一个文档,说明浏览器应该和不应该自动发送标题(类似于规范文档).我对OAuth和Bearer Authorization标题类型特别感兴趣.

Answer 1

通常，Web 浏览器在收到 401 响应时会发送 Authorization 标头。RFC 7235“超文本传输​​协议（HTTP/1.1）：身份验证”说：

“Authorization”标头字段允许用户代理在收到 401（未经授权）响应后通常（但不一定）向源服务器验证自身身份。

如果您正在查找 HTTP 身份验证的规范，请参阅“超文本传输​​协议 (HTTP) 身份验证方案注册表”，其中提供了身份验证方案和参考的列表。