使用Javascript跳过HTTP身份验证？

Question

我有一个用户必须登录才能访问的网站。我有一些Web服务调用来获取存储在另一台服务器中的数据。

但是要访问服务器用户必须通过登录弹出窗口再次登录。为了避免这种情况，我想传递用户/密码，但不是在URL中传递。

是否可以在Javascript中添加标题中的用户/密码或类似的东西？

Answer 1

查看XMLHttpRequest对象的W3C规范。 “open”方法的五参数版本允许您指定用户名和密码。

<强> EDITED

请注意：这会使您的密码可公开访问。

Answer 2

此类型的授权通常通过请求标头完成。对于与网页交互的常规用户，可以使用请求中的cookie记住登录凭证。但是，对于API访问，执行此操作的标准方法是在请求的POST正文中包含bearer tokens。另见：OAuth2。

对于API访问（但不是用户）的身份验证，此类身份验证通常通过API密钥完成。

重要注意事项：在进行任何身份验证时，您应确保您的请求已加密（并且在设置Cookie时，用于身份验证的Cookie已正确标记为“安全”）。