Однократная однократная аутентификация http digest - PullRequest
0 голосов
/ 08 марта 2019

Я пытаюсь реализовать одноразовый процесс аутентификации дайджеста HTTP.Прежде всего я осознаю тот факт, что аутентификация не является абсолютно безопасной.Пожалуйста, не говорите мне использовать что-то еще.Процесс аутентификации работает как положено.Когда пользователь успешно проходит аутентификацию, я добавляю поле http Authentication-Info со следующим одноразовым номером.В этом случае браузер Firefox не использует этот одноразовый номер для дальнейших запросов.

Authentication-Info: nextnonce="06e8043d3fb8c26156829c4b55afd13040"

Почему браузер не использует мой новый одноразовый номер для будущих запросов?Он все еще использует старый, теперь недействительный!

RFC7616 описывает поле заголовка.https://tools.ietf.org/html/rfc7616#section-3.5

Значением параметра nextnonce является одноразовый номер, который сервер желает использовать для будущего ответа аутентификации.Сервер МОЖЕТ отправить поле заголовка Authentication-Info с полем nextnonce в качестве средства реализации одноразовых одноразовых номеров или иного изменения одноразовых номеров.Если поле nextnonce присутствует, ...

RFC2617 описывает синтаксис в разделе 3.2.3

https://www.ietf.org/rfc/rfc2617.txt

[Редактировать]

Возможно ли, что Firefox не поддерживает эту функцию.Если я ищу здесь https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/WWW-Authenticate для поля заголовка, я не могу найти результат.

Но он указан здесь как стандартный флаг заголовка: https://www.iana.org/assignments/message-headers/message-headers.xhtml

1 Ответ

1 голос
/ 10 марта 2019

nextnonce не поддерживается в Firefox, даже заголовок Authentication-Info.

Ошибка "следующий тест проверки подлинности дайджеста nonce" была открыта 18 лет назад, и она до сих пор не исправлена.

Я скачал исходный код последней версии Firefox 65.0.1 и искал проект. «Authentication-Info» появляется только в netwerk/protocol/http/nsHttpDigestAuth.cpp как комментарий, нигде больше.

...