WWW-Authenticate应该包含401响应，尤其是REST API？

Question

如果凭据不正确或无效，并且如果我选择使用401，那么WWW-Authenticate标头值应该是多少？该领域应该是什么，特别是对于REST API？

我看到的大多数示例都是WWW-Authenticate: realm="Company website" location="...."，但这更类似于浏览器客户端。

Answer 1

WWW-Authenticate响应标头包含“质询”，质询包含的内容取决于您使用的身份验证方案。

如果您使用基本身份验证，则挑战仅包含字符串“Basic”和领域，例如：

WWW-Authenticate: Basic realm="WallyWorld"

如果你使用摘要式身份验证，它应该包含一个字符串“Digest”和许多字段，例如：

WWW-Authenticate: Digest
             realm="testrealm@host.com",
             qop="auth,auth-int",
             nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093",
             opaque="5ccc069c403ebaf9f0171e9517f40e41"

有关HTTP身份验证方案的信息，请参阅RFC 7235;有关基本和摘要式身份验证，请参阅RFC 2617。