问题标签 [basic-authentication]

如果他使用基本身份验证，是否可以从网站注销用户？

杀死会话是不够的，因为一旦用户通过身份验证，每个请求都包含登录信息，因此用户下次使用相同的凭据访问站点时会自动登录。

到目前为止唯一的解决方案是关闭浏览器，但从可用性的角度来看这是不可接受的。

我有一个标准的 ASP.NET 网站，部署到我们的开发机器（我们服务器机房的内部机器）。

现在，内部和外部用户都可以访问这个开发站点。现在，在 IIS6 中，我们曾经拥有它，因此关闭了匿名身份验证并打开了其他东西.. 为用户提供了一个用于用户名和密码的弹出模型框。我认为他们必须输入一些在 web.config 文件中定义的用户名或密码？（不是他们的网站帐户用户名/密码）/

现在，使用 IIS7，当我关闭Anon Auth并打开Basic或Windows Auth时，我可以访问该站点但它试图使用这些凭据登录我..而不是用户注册的帐户（使用一些库存标准 asp.net 网络表单页面）。

那么......是否可以“锁定”整个网站并让测试人员获得对该网站的一般访问权限......这与他们的网站用户名和密码不同。这些用户名和密码是在网站中使用的。

那有意义吗？

干杯！

没有授权部分。

另外，当我将“摘要身份验证”添加到 iis7 并启用它（并禁用其他所有内容）时，我得到弹出窗口（kewl！）但我不确定我需要传递什么凭据。我在哪里可以定义那些手动凭据（因此它们与网站的用户分开）？？

我有一个位于基本身份验证/SSL 后面的 WSS 安装（它托管在公共 Web 主机上）。我正在 ASP.NET 中创建一个姊妹站点，并且正在考虑只运行凭据并允许用户登录到新系统，前提是没有返回 401 Not Authorized 错误。

两者都是面向互联网的应用程序，将被大约 20-50 人使用。

我错过了什么？我以前从未听说过这个推荐，但我不明白为什么它不起作用。

请让我知道如何在 Tomcat 5.5.27 上禁用基本身份验证

这是我正在寻找身份验证的流程：

1. 尝试从 Windows 身份验证中提取用户名
2. 如果失败（用户在网络外部），请使用 BASIC 身份验证来获取用户名/密码。
3. 根据 SQL 数据库检查用户名/密码。如果是windows，不需要密码，如果BASIC认证和密码错误，再次提示
4. 使用用户名创建 Identity 对象，并通过另一个 SQL 数据库调用填充用户的角色

这将需要用于多个应用程序。

实现这一点的最佳方法是什么？创建一个 HTTP 模块？如果是这样，我需要记住什么（安全性、虚拟目录设置等）

我有一个需要使用“基本身份验证”的应用程序；但是，为了让您在 Visual Studio 中调试应用程序，IIS 要求该目录也启用“Windows 身份验证”。

问题是我的用户处理程序尝试发送基本身份验证请求以将它们与数据库进行比较......但是由于上述“Windows 身份验证”，IIS 插入到标头中的 NTLM 请求将基本身份验证请求的优先级推低'，所以它会被用户发送到服务器。

有没有人遇到过这种情况？有没有办法在 Visual Studio 中进行调试而无需启用 Windows 身份验证（或至少阻止它请求请求的安全性）？

谢谢！

编辑：忘了提，在开发环境之外，“windows 身份验证”不会启用

我正在重构一个工作的 ASP.NET Web 应用程序以使用 ASP.NET Web 服务公开 Web 服务接口。根据Web 服务身份验证 - 最佳实践，通过 https 的基本身份验证是可行的方法。让我们假设它是，而不是做 WS-Security、X509 等。

在 .NET 3.5/VS 2008 上，实现自定义 http 基本身份验证（非 Windows 帐户）的最简单方法是什么，例如，仅当用户名为“foo”且密码为“bar”时才接受。最终，我想Thread.CurrentPrincipal设置。

我自己写HttpModule还是可以更简单地完成？

我在哪里可以找到在纯 JavaScript 中实现 HTTP 基本身份验证客户端的参考代码，适用于 AJAX？

代码的额外点，或指向代码的指针，可以独立于 JS 工具包（如 YUI）使用。Java、Flash/Flex、PHP 框架等不加分。

基本上我的情况是我有一个内部网站，需要一个硬编码的用户名和密码才能访问（并且不能关闭，只能更改）。由于各种原因（隐藏端口、简化 url、简化 NAT 等），我通过反向代理公开了这个网站。

但是，我想做的是能够使用 Apache 来处理身份验证，以便：

1. 我不必给每个人一个密码
2. 我可以使用 Apache 的 BasicAuth 拥有多个用户名和密码
3. 对于内部用户，我不必提示输入密码

编辑：关于更丰富的身份验证的第二部分已移至新问题

这或多或少是我现在所拥有的：

在我的 Apache 2 配置中，我有一个VirtualHost看起来像这样的：

我使用虚拟主机作为网络上另一台服务器（我将称之为端点）的反向代理。

我正在尝试找出一种配置，该配置将允许网络浏览中的用户sub.domain.com自动获得端点服务。但是，应提示网络外的用户输入凭据

端点需要我使用 RequestHeader （我想要的）隐藏的密码。应提示外部用户的密码是不同的，并且需要是 BasicAuth，从htpasswd文件中获取它的用户列表。