Tarayıcının Jquery kullanarak temel kimlik doğrulama açılır penceresini çağırması ve 401 hatasını işlemesi nasıl engellenir?

Temel yetkilendirmeyi kullanarak yetkilendirme isteği göndermem gerekiyor. Bunu jquery kullanarak başarıyla uyguladım. Ancak 401 hatası aldığımda temel kimlik doğrulama tarayıcısı açılır penceresi açılıyor ve jquery ajax hatası geri araması çağrılmıyor.

Son zamanlarda ben de bu sorunla karşı karşıyaydım. Bir 401( temel veya özet kimlik doğrulama) durumunda tarayıcının varsayılan pop-up gösterme davranışını değiştiremeyeceğiniz için , bunu düzeltmenin iki yolu vardır:

• Sunucu yanıtını bir döndürmeyecek şekilde değiştirin 401. 200Bunun yerine bir kod döndürün ve bunu jQuery istemcinizde işleyin.

• Yetkilendirme için kullandığınız yöntemi başlığınızdaki özel bir değerle değiştirin. Tarayıcılar, Temel ve Özet için açılır pencereyi görüntüleyecektir . Bunu hem istemcide hem de sunucuda değiştirmeniz gerekir.

  headers : {
    "Authorization" : "BasicCustom"
  }

Ayrıca bir göz atın lütfen bu Basic Auth ile jQuery kullanarak bir örnek için.

Genel bir 400 durum kodu döndürün ve ardından bu istemci tarafını işleyin.

Ya da 401'i saklayabilir ve WWW-Authenticate başlığını döndürmeyebilirsiniz, bu gerçekten tarayıcının kimlik doğrulama açılır penceresiyle yanıt verdiği şeydir. WWW-Authenticate başlığı eksikse, tarayıcı kimlik bilgileri istemez.

Aşağıdaki gibi görünen istek url'si ile temel kimlik doğrulama pop-up'ını engelleyebilirsiniz:

https://username:password@example.com/admin/...

401 hatası alırsanız (yanlış kullanıcı adı veya parola), jquery hatası geri aramasıyla doğru şekilde işlenecektir. Bazı güvenlik sorunlarına neden olabilir (https yerine http protokolü olması durumunda), ancak işe yarıyor.

UPD: Bu çözüm desteği Chrome 59'da kaldırılacaktır.

Diğerlerinin de belirttiği gibi, tarayıcının davranışını değiştirmenin tek yolu, yanıtın bir 401 durum kodu içermediğinden veya içeriyorsa, WWW-Authenticate: Basicbaşlığı içermediğinden emin olmaktır . Durum kodunu değiştirmek çok anlamsal ve istenmeyen bir durum olmadığından, iyi bir yaklaşım,WWW-Authenticate başlığı . Web sunucusu uygulamanızı değiştiremiyorsanız veya değiştirmek istemiyorsanız, her zaman Apache aracılığıyla sunabilir veya proxy yapabilirsiniz (zaten Apache kullanmıyorsanız).

Burada, Apache'nin WWW-Authenticate üstbilgisini kaldırmak için yanıtı yeniden yazması için bir yapılandırma X-Requested-With: XMLHttpRequestbulunmaktadır. başlık WWW-Authenticate: Basic.

Apache 2.4 üzerinde test edilmiştir (2.2 ile çalışıp çalışmadığından emin değil). Bu, mod_headerskurulmakta olan modüle bağlıdır. (Debian / Ubuntu'da sudo a2enmod headersve Apache'yi yeniden başlatın)

    <Location />
            # Make sure that if it is an XHR request,
            # we don't send back basic authentication header.
            # This is to prevent the browser from displaying a basic auth login dialog.
            Header unset WWW-Authenticate "expr=req('X-Requested-With') == 'XMLHttpRequest' && resp('WWW-Authenticate') =~ /^Basic/"
    </Location>   

İstek başlığınızla X-Requested-With: XMLHttpRequest öğesini kullanın. Bu nedenle yanıt başlığı WWW-Authenticate: Basic içermeyecektir.

beforeSend: function (xhr) {
                    xhr.setRequestHeader('Authorization', ("Basic "
                        .concat(btoa(key))));
                    xhr.setRequestHeader('X-Requested-With', 'XMLHttpRequest');
                },

Bir IIS Sunucusu kullanıyorsanız, WWW-Authenticationüstbilgiyi Noneistenen URL'ye yeniden yazmak için IIS URL Yeniden Yazma'yı (v2) kurabilirsiniz .

Burada rehberlik edin .

Değiştirmek istediğiniz değer response_www_authenticate.

Daha fazla bilgiye ihtiyacınız varsa, bir yorum ekleyin ve web.config dosyasını göndereceğim.

WWW-Authenticate başlığı kaldırılırsa, kimlik bilgilerinin önbelleğe alınmasını ve istekte Yetkilendirme başlığını geri alamazsınız. Bu, artık oluşturduğunuz her yeni istek için kimlik bilgilerini girmeniz gerektiği anlamına gelir.

Alternatif olarak, sunucu yanıtınızı özelleştirebiliyorsanız, 403 Yasak'ı döndürebilirsiniz.

Tarayıcı kimlik doğrulama açılır penceresini açmayacak ve jquery geri araması çağrılacaktır.

Safari'de, tarayıcının açılır pencereyi görüntülemesini önlemek için eşzamanlı istekleri kullanabilirsiniz. Elbette, senkronize istekler yalnızca bu durumda kullanıcı kimlik bilgilerini kontrol etmek için kullanılmalıdır ... Bu tür bir isteği gerçek isteği göndermeden önce kullanabilirsiniz, bu da içerik (gönderilen veya alınan) oldukça ağırsa kötü bir kullanıcı deneyimine neden olabilir.

    var xmlhttp=new XMLHttpRequest;
    xmlhttp.withCredentials=true;
    xmlhttp.open("POST",<YOUR UR>,false,username,password);
    xmlhttp.setRequestHeader("Content-type","application/x-www-form-urlencoded");
    xmlhttp.setRequestHeader('X-Requested-With', 'XMLHttpRequest');

GET aracılığıyla "kullanıcı" ve "şifre" parametrelerini kabul etmek yerine bir / login url'si oluşturun ve temel kimlik doğrulama gerektirmez. Burada php, node, java vb. Kullanın ve passwd dosyanızı ayrıştırın ve parametreleri (kullanıcı / geçiş) ona karşı eşleştirin. Bir eşleşme varsa, http: // user: pass@domain.com/ adresine yönlendirin (bu, tarayıcınızda kimlik bilgilerini belirleyecektir), yoksa 401 yanıtı gönderin (WWW-Authenticate başlığı olmadan).

Spring Boot ile arka taraftan özel BasicAuthenticationEntryPoint kullandım:

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.cors().and().authorizeRequests()
            ...
            .antMatchers(PUBLIC_AUTH).permitAll()
            .and().httpBasic()
//    https://www.baeldung.com/spring-security-basic-authentication
            .authenticationEntryPoint(authBasicAuthenticationEntryPoint())
            ...

@Bean
public BasicAuthenticationEntryPoint authBasicAuthenticationEntryPoint() {
    return new BasicAuthenticationEntryPoint() {
        {
            setRealmName("pirsApp");
        }

        @Override
        public void commence
                (HttpServletRequest request, HttpServletResponse response, AuthenticationException authEx)
                throws IOException, ServletException {
            if (request.getRequestURI().equals(PUBLIC_AUTH)) {
                response.sendError(HttpStatus.PRECONDITION_FAILED.value(), "Wrong credentials");
            } else {
                super.commence(request, response, authEx);
            }
        }
    };
}