什么时候浏览器会自动发送Authorization标头？

Question

我想知道浏览器自动发送Authorization标头的时间是什么时候。

通过阅读几篇帖子并进行实验，我发现浏览器只发送凭据：

• 使用Basic身份验证时，并且仅当用户直接在浏览器窗口中输入用户名和密码时（例如，如果它们是在XMLHttpRequest中提供的话）。
• 使用NTLM身份验证时

我想找一个文档，说明浏览器应该和不应该自动发送标题（类似于规范文档）。我对OAuth和Bearer Authorization标题类型特别感兴趣。

Answer 1

通常，Web浏览器在收到401响应时会发送授权标头。 RFC 7235“超文本传输​​协议（HTTP / 1.1）：身份验证 “说：

  

“授权”标头字段允许用户代理进行身份验证      本身与原始服务器 - 通常，但不一定，后      收到401（未经授权）回复。

如果要查找HTTP身份验证的规范，请参阅"Hypertext Transfer Protocol (HTTP) Authentication Scheme Registry"，其中提供了身份验证方案和参考的列表。