HTTP 401 - apa nilai header WWW-Authenticate yang sesuai?

Aplikasi yang saya kerjakan saat ini memiliki nilai batas waktu sesi. Jika pengguna tidak berinteraksi lebih lama dari nilai ini, halaman berikutnya yang mereka coba muat, mereka akan diminta untuk masuk.

Semua permintaan yang dibuat dirutekan melalui mekanisme ini, yang mencakup panggilan AJAX. Awalnya kami mengirimkan 200 header dengan halaman login, yang menimbulkan beberapa masalah dengan AJAX karena kode dijalankan jika 200 respons dikirim, dan sebagian besar data yang dikirim kembali dari panggilan RPC ini adalah JSON atau JavaScript mentah yang dievaluasi (jangan bertanya: |).

Saya menyarankan bahwa 401 lebih baik, karena pengurai JSON kita tidak akan mencoba menggunakan halaman login HTML .. :)

Namun, saat membaca spesifikasi , saya perhatikan bahwa WWW-Authenticatebidang tersebut juga harus dikirim.

Berapa nilai yang bagus untuk bidang ini? Apakah Application Logincukup?

Saat menunjukkan Otentikasi Dasar HTTP, kami mengembalikan sesuatu seperti:

WWW-Authenticate: Basic realm="myRealm"

Sedangkan Basicskema dan sisanya sangat bergantung pada skema itu. Dalam hal ini realm hanya menyediakan browser literal yang dapat ditampilkan kepada pengguna saat meminta ID pengguna dan kata sandi.

Anda jelas tidak menggunakan Basic namun karena tidak ada gunanya sesi berakhir saat Basic Auth digunakan. Saya berasumsi Anda menggunakan beberapa bentuk otentikasi berbasis Formulir.

Dari ingatan, Windows Challenge Response menggunakan skema yang berbeda dan argumen yang berbeda.

Triknya adalah tergantung pada browser untuk menentukan skema apa yang didukungnya dan bagaimana ia menanggapinya.

Perasaan saya jika Anda menggunakan otentikasi berbasis formulir adalah tetap dengan halaman relogin 200 + tetapi menambahkan tajuk khusus yang akan diabaikan browser tetapi AJAX Anda dapat mengidentifikasi.

Untuk pengalaman Pengguna + AJAX yang benar-benar bagus, dapatkan skrip untuk bertahan pada permintaan AJAX yang mendapati sesi telah kedaluwarsa, jalankan permintaan masuk kembali melalui munculan, dan jika berhasil, kirim ulang permintaan AJAX asli dan lanjutkan seperti biasa.

Hindari cheat yang hanya membuat skrip masuk ke situs setiap 5 menit untuk menjaga sesi tetap hidup karena hanya mengalahkan titik kadaluwarsa sesi.

Alternatif lainnya adalah membakar permintaan AJAX tetapi itu adalah pengalaman pengguna yang buruk.

Tidak, Anda harus menentukan metode otentikasi yang akan digunakan (biasanya "Dasar") dan bidang otentikasi. Lihat http://en.wikipedia.org/wiki/Basic_access_authentication untuk contoh permintaan dan tanggapan.

Anda mungkin juga ingin membaca RFC 2617 - HTTP Authentication: Basic and Digest Access Authentication .

Ketika sesi pengguna habis waktu, saya mengirim kembali kode status HTTP 204. Perhatikan bahwa status HTTP 204 tidak berisi konten. Di sisi klien saya melakukan ini:

xhr.send(null);
if (xhr.status == 204) 
    Reload();
else 
    dropdown.innerHTML = xhr.responseText;

Berikut adalah fungsi Reload ():

function Reload() {
    var oForm = document.createElement("form");
    document.body.appendChild(oForm);
    oForm.submit();
    }