有没有办法获取浏览器持有的登录凭据？

Question

我很确定答案是否定的，因为这将是一个重大的安全漏洞。但是，如果用户使用他们的浏览器登录网站，然后告诉我们的桌面应用程序从该网站读取XML文件，是否有办法使用浏览器提供的凭据，因此他们无需向我们提供用户名＆安培;密码？

谢谢 - 戴夫

Answer 1

这不可能在javascript中从Basic-Auth获取密码，因为这将是一个相当大的安全问题。但是，如果浏览器了解了一个basic-auth用户名/密码对，它会将每个请求发送到匹配域，因此您可能甚至不会强制知道客户端上的密码，因为浏览器将处理它

如果您有自定义身份验证架构，可以保存用户名和密码，以便您可以通过javascript从Cookie访问它，但我强烈建议您不< / strong>这样做，因为它会打开用户名/密码给任何能够在您的应用程序上下文中运行javascript的人（例如通过XSS），并且可能会以明文形式将密码保存在用户的硬盘上。在这种情况下你应该使用的是基于令牌的系统（如oauth）或许多单点登录系统之一，它们使用短期和签名的cookie。