Có thể sử dụng tính năng Digest-Authentication với XMLHTTPRequest không?

Question

Tôi có một câu hỏi đơn giản: Có thể sử dụng Digest-Authentication với XMLHTTPRequest không?

Nếu câu trả lời là không, lý do kỹ thuật là gì? Hoặc nếu có thể - làm thế nào tôi có thể làm điều đó?

Thanks a lot ... google không có câu trả lời tốt cho đến nay: -/

EDIT:

Cảm ơn câu trả lời. Sửa đổi tiêu đề để khớp với lược đồ xác thực thông báo, sau khi nhận được nonce, có vẻ như là một giải pháp.

Nhưng những gì tôi thực sự tìm kiếm là tôi có thể thay đổi cuộc gọi hiện tại của mình: xmlhttp.open ("GET", url, false, tên người dùng, mật khẩu); đến sth. như xmlhttp.open ("GET", url, sai, tên người dùng, mật khẩu, "DIGEST");

Đó cũng là một phần của câu hỏi ban đầu của tôi: Tại sao phương pháp mở không cung cấp tùy chọn thực hiện yêu cầu thông báo?

Có thể có js-lib có thể khuyên bạn nên làm điều đó - như bạn tưởng tượng tôi không thực sự muốn thay đổi một và đơn giản xmlhttp.open thành nhiều yêu cầu và đầu tiên nhận được nonce.

Answer 1

Bạn có thể làm điều đó không thành vấn đề. Chỉ cần làm theo các phần của thông số kỹ thuật bạn cảm thấy thích;)
http://tools.ietf.org/html/rfc2617
và là tất cả những gì bạn thiếu để bắt đầu viết thư viện xác thực của mình
http://pajhome.org.uk/crypt/md5/
ở phía máy khách.

tên người dùng và mật khẩu trước khi trao đổi
Hey Tôi muốn xác thực ----> Máy chủ
Ok đây là một nonce/muối ----> client
đây là một md5 hash sum của tên người dùng của tôi dấu thời gian mật khẩu và muối -----> máy chủ
Tôi vừa tạo mật khẩu và tên người dùng giống như cách bạn đã làm và chúng giống nhau -----> khách hàng
Đó là những điều cơ bản về nó.

Tôi đã bỏ qua rằng bạn cần bao gồm URI của tài nguyên được yêu cầu trong hashsum !!!!
Tất nhiên bạn làm điều này với mọi yêu cầu bạn thực hiện cho một tài nguyên cho máy chủ theo cách mà một số người chặn mã băm chỉ có thể xem nội dung bạn yêu cầu và không thể yêu cầu tài nguyên linh tinh.Phương thức này không bảo mật dữ liệu chỉ cần truy cập vào nó.

Answer 2

Cách tốt nhất để làm điều này là sử dụng SSL. Tôi không nghĩ rằng bất kỳ giải pháp an toàn nào khác tồn tại (sửa tôi nếu tôi sai)

Answer 3

Hãy xem bài viết này: http://marcin-michalski.pl/2012/11/01/javascript-digest-authentication-restful-webservice-spring-security-javascript-ajax/. Nó giải thích cách làm JavaScript client cho Digest Authentication với SpringSecurity ở phía máy chủ. Mã này có sẵn trong github: https://github.com/Arrowgroup/JSDigestAuth

Answer 4

Tôi đã mã hóa toàn bộ quy trình làm việc này, không khó chút nào khi bạn đang sử dụng thư viện bên ngoài cho MD5 (Tôi sử dụng Crypto-js).

Vấn đề lớn nhất bạn có thể có là trên máy chủ đầu tiên 401 trả lời bất kỳ trình duyệt nào được sử dụng nhiều nhất sẽ mở hộp thoại để nhận thông tin đăng nhập của bạn.Theo như tôi đã thấy không có cách nào dễ dàng để vượt qua điều này: How can I supress the browser's authentication dialog?

Để giải quyết, tôi đã sửa đổi máy chủ web mà tôi đã mã hóa từ một dự án mã hóa C#. Trên yêu cầu đầu tiên, khách hàng chuyển tiêu đề "Cảnh báo" cho biết "Không tăng 401". Máy chủ tạo ra thử thách và gửi lại với một HttpException tùy chỉnh, không 401 (tôi sử dụng 406 cho thời điểm này, "không được chấp nhận" trong HTTP). Máy khách tạo băm và gửi lại.

Tôi có thể đăng một số đoạn mã nếu có ai quan tâm, đây là một câu hỏi cũ.