HTTP 401 - Was ist ein geeigneter WWW-Authenticate-Headerwert?

Die Anwendung, an der ich gerade arbeite, hat einen Sitzungszeitlimitwert. Wenn der Benutzer länger als dieser Wert nicht interagiert hat, wird er auf der nächsten Seite, die er zu laden versucht, aufgefordert, sich anzumelden.

Alle gestellten Anforderungen werden über diesen Mechanismus weitergeleitet, der AJAX-Aufrufe enthält. Ursprünglich haben wir einen 200-Header mit der Anmeldeseite gesendet, was einige Probleme mit AJAX verursacht, da Code ausgeführt wird, wenn eine 200-Antwort gesendet wird, und die meisten Daten, die von diesen RPC-Aufrufen zurückgesendet werden, JSON oder unformatiertes JavaScript sind, das ausgewertet wird (nicht fragen: |).

Ich habe vorgeschlagen, dass ein 401 besser ist, da unser JSON-Parser nicht versucht, eine HTML-Anmeldeseite zu verwenden. :)

Beim Lesen der Spezifikation bemerkte ich jedoch, dass dieWWW-Authenticate Feld auch gesendet werden muss.

Was ist ein guter Wert für dieses Feld? Wird Application Loginausreichen?

Wenn Sie die HTTP-Basisauthentifizierung angeben, geben wir Folgendes zurück:

WWW-Authenticate: Basic realm="myRealm"

Während Basicdie Regelung und der Rest ist sehr stark abhängig von dieser Regelung. In diesem Fall stellt Realm dem Browser lediglich ein Literal zur Verfügung, das dem Benutzer angezeigt werden kann, wenn er zur Eingabe der Benutzer-ID und des Kennworts aufgefordert wird.

Sie verwenden Basic jedoch offensichtlich nicht, da es keinen Sinn macht, die Sitzung ablaufen zu lassen, wenn Basic Auth verwendet wird. Ich gehe davon aus, dass Sie eine formularbasierte Authentifizierung verwenden.

Aus der Erinnerung heraus verwendet Windows Challenge Response ein anderes Schema und andere Argumente.

Der Trick besteht darin, dass es Sache des Browsers ist, zu bestimmen, welche Schemata er unterstützt und wie er darauf reagiert.

Mein Bauchgefühl, wenn Sie eine formularbasierte Authentifizierung verwenden, besteht darin, bei der Neuanmeldeseite über 200 zu bleiben, aber einen benutzerdefinierten Header hinzuzufügen, den der Browser ignoriert, den Ihr AJAX jedoch identifizieren kann.

Lassen Sie das Skript für eine wirklich gute Benutzer- und AJAX-Erfahrung an der AJAX-Anforderung festhalten, bei der die Sitzung abgelaufen ist, lösen Sie eine erneute Anmeldeanforderung über ein Popup aus und senden Sie bei Erfolg die ursprüngliche AJAX-Anforderung erneut und fahren Sie wie gewohnt fort.

Vermeiden Sie den Cheat, bei dem das Skript alle 5 Minuten auf die Site gelangt, um die Sitzung am Leben zu erhalten, da dies nur den Punkt des Sitzungsablaufs zunichte macht.

Die andere Alternative ist das Brennen der AJAX-Anforderung, aber das ist eine schlechte Benutzererfahrung.

Nein, Sie müssen die zu verwendende Authentifizierungsmethode (normalerweise "Basic") und den Authentifizierungsbereich angeben. Eine Beispielanforderung und -antwort finden Sie unter http://en.wikipedia.org/wiki/Basic_access_authentication .

Möglicherweise möchten Sie auch RFC 2617 - HTTP-Authentifizierung: Standard- und Digest-Zugriffsauthentifizierung lesen .

Wenn die Benutzersitzung abläuft, sende ich einen HTTP 204-Statuscode zurück. Beachten Sie, dass der HTTP 204-Status keinen Inhalt enthält. Auf der Client-Seite mache ich das:

xhr.send(null);
if (xhr.status == 204) 
    Reload();
else 
    dropdown.innerHTML = xhr.responseText;

Hier ist die Funktion Reload ():

function Reload() {
    var oForm = document.createElement("form");
    document.body.appendChild(oForm);
    oForm.submit();
    }