वेब http प्रमाणीकरण विधियों का निर्धारण

Question

आप कैसे निर्धारित करते हैं कि एक आरईएसटी webservice बेसिक, केर्बेरोज, एनटीएलएम, या कई अन्य प्रमाणीकरण विधियों में से एक का उपयोग कर रहा है या नहीं?

Answer 1

जब आप एक अप्रमाणित अनुरोध सेवा एक साथ प्रतिक्रिया करने के लिए है भेजने "HTTP/1.1 401 अनधिकृत" और प्रतिक्रिया एक WWW-Authenticate हैडर निर्दिष्ट करता है कि क्या प्रमाणीकरण योजना की उम्मीद है (Basic, Digest), सुरक्षा क्षेत्र और किसी भी अन्य शामिल विशिष्ट मूल्य (जैसे कि Digets के nonce)। तो यदि सर्वर इसके साथ प्रतिक्रिया करता है:

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Digest realm="example.com", 
         qop="auth,auth-int", 
         nonce="...", 
         opaque="..." 

यह एक डाइजेस्ट प्रमाणीकरण चाहता है। अगर प्रतिक्रिया इस तरह दिखती है:

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Basic realm="example.com" 

तो यह मूल प्रमाणीकरण चाहता है। कुछ (खराब) लागू सर्वर/साइट बेसिक सही तरीके से संभाल नहीं लेते हैं और पहले चुनौती देने के बजाय 403 निषिद्ध के साथ सीधे प्रतिक्रिया देते हैं।

एनटीएलएम समान है क्योंकि सर्वरके साथ एक 401 और डब्ल्यूडब्ल्यूडब्लू-प्रमाणीकरण शीर्षलेख के साथ मरम्मत करता है, लेकिन माइक्रोसॉफ्ट स्वामित्व के बाद से इसके लिए कोई आधिकारिक सार्वजनिक नमूना नहीं है। विभिन्न reverseengineered विवरण हैं।

दुर्भाग्यवश आरईएसटी प्रीटी प्रयुक्त प्रमाणीकरण योजना की खोज के लिए सेवा के डब्लूएसडीएल शैली विवरण के साथ नहीं आती है।

Answer 2

यदि यह एक काला बॉक्स परिदृश्य है, तो मैं आमतौर पर Fiddler से कनेक्ट करता हूं, और वास्तविक ट्रैफ़िक का निरीक्षण करता हूं।

Answer 3

आप इसे एक अनुरोध भेजने, शायद एक HTTP 401 कोड मिलता है, और WWW-Authenticate हैडर कि (RFC 2616 प्रति) प्रतिक्रिया MUST शामिल देखो। यदि इसके बजाय आपको 403 या कुछ अन्य अजीब स्थिति मिलती है, या अनुपलब्ध WWW-Authenticate शीर्षलेख मिलता है, तो आप उन वेबसाइट लेखकों पर अभिशाप करते हैं जो मूल HTTP आरएफसी का पालन नहीं करते हैं, और यातायात को फिर से शुरू करने के लिए यातायात शुरू करने के लिए शुरू करते हैं जो उन्होंने किया है यह समय ;-)।