承認ヘッダーはいつブラウザから自動的に送信されますか？

Question

Authorizationヘッダーがいつブラウザによって自動的に送信されるのか、そうでないのかを知りたいと思います。いくつかの記事を読んで実験することで

、私はブラウザだけで認証情報を送信していることが分かった：

• 直接ブラウザウィンドウにユーザー名とパスワードをBasic認証を使用して、唯一のユーザー入力の場合（ではありませんたとえば、XMLHttpRequestで提供されている場合など）。
• NTLM認証を使用して

私はブラウザは、自動的に（仕様書のようなものを）ヘッダを送信すべきでないときに述べた文書を発見したいと思います。私は特にOAuthとBearerAuthorizationヘッダーの種類に興味があります。

Answer 1

通常、Webブラウザは401応答を受信したときにAuthorizationヘッダーを送信します。 RFC 7235「ハイパーテキスト転送プロトコル（HTTP/1.1）：認証 」と言う：

「許可」ヘッダフィールドはオリジンサーバと 自体を認証するユーザエージェント可能 - た後、通常、必ずしもそうではないと は401（Unauthorized）応答を受信しました。

HTTP認証の仕様を見つける場合は、認証方式と参照のリストを示す"Hypertext Transfer Protocol (HTTP) Authentication Scheme Registry"を参照してください。