RFC2616：返回401时我真的需要设置WWW_Authenticate吗？

Question

根据RFC2616，如果我返回401以响应对我的（Ruby）服务器的请求，我“必须包含WWW-Authenticate头字段。” 这是真的吗？ 没有设置标题似乎没有负面影响。 我使用Merb作为Web框架，它不会强迫我设置标头。

我是否遗漏了某些内容，或者这条规则在违规方面更为荣幸？

Web框架是否应该强制开发人员在返回401时设置标头？

Answer 1

问题在于您是否希望用户能够从401故障导航到成功的身份验证。 如果您未能提供WWW-Authenticate标题，那么您正在将“您必须提供凭据”的401的含义更改为“我们不喜欢您的类型”。 这可能对你的目的来说很好，但是在没有提供解决问题的方法的情况下拒绝凭证这一概念的固有不礼貌是“必须”的根源。

Answer 2

如果您希望客户端进行身份验证，则发送401，在这种情况下，您需要告诉它如何进行身份验证。

那么您希望客户做什么？ 如果它只是一个“你不能这样做”的消息，请考虑403。