確定Web HTTP身份驗證方法

Question

如何確定REST Web服務是使用Basic，Kerberos，NTLM還是其他許多身份驗證方法之一？

Answer 1

當你發送一個未經身份驗證的請求服務必須有迴應「HTTP/1.1 401未經授權」，並響應包含一個WWW-Authenticate頭，以指定的認證計劃預計（Basic，Digest），安全領域以及其他任何具體的價值（如Digets's nonce）。所以如果服務器響應：

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Digest realm="example.com", 
         qop="auth,auth-int", 
         nonce="...", 
         opaque="..." 

它想要摘要式身份驗證。如果響應看起來像：

HTTP/1.0 401 Unauthorized 
WWW-Authenticate: Basic realm="example.com" 

然後它想要一個基本身份驗證。一些（很差）實施的服務器/站點不能正確處理基本信息，並直接使用403 Forbidden進行響應，而不是首先進行挑戰。

NTLM與服務器響應401和WWW-Authenticate標頭的值爲NTLM類似，但沒有官方公開規範，因爲它是Microsoft專有的。有各種各樣的reverseengineered描述。

不幸的是，REST沒有提供WSDL樣式的服務描述來發現使用的驗證方案先驗。

Answer 2

如果是黑匣子場景，我通常會連接Fiddler，並檢查實際流量。

Answer 3

您向它發送了一個請求，大概會得到一個HTTP 401代碼，並查看WWW-Authenticate標頭（RFC 2616）響應MUST包含的標頭。如果您得到403或其他奇怪的狀態，或者缺少WWW-Authenticate標題，那麼您會對不遵循核心HTTP RFC的網站作者詛咒，並開始嗅探流量以嘗試對他們已經完成的非標準混亂進行反向工程這個時間;-)。