CORS i HTTP basic auth

Question

Jak wyglądałoby preflightowane żądanie HTTP, jeśli uwzględnisz podstawowe uwierzytelnianie? Jak ta rozmowa? Im kłopoty aby zrozumieć, które nagłówki muszą być wysyłane gdzie, również dlatego, że jej nie można go debugować poprawnie z Firebug

klient:

OPTIONS /api/resource HTTP/1.1 
Access-Control-Request-Method: GET 
Origin: http://jsconsole.com 

Server:

HTTP/1.1 200 OK 
Access-Control-Allow-Origin: * 
Access-Control-Allow-Methods: POST, GET, PUT, DELETE 
Access-Control-Allow-Headers: Authorization 
Access-Control-Max-Age: 1728000 
Access-Control-Allow-Credentials: true 

Klient:

GET /api/resource HTTP/1.1 
Access-Control-Request-Method: GET 
Access-Control-Allow-Credentials: true 
Origin: http://jsconsole.com 

Serwer:

HTTP/1.1 401 Unauthorized 
Access-Control-Allow-Origin: * 
Access-Control-Allow-Methods: POST, GET, PUT, DELETE 
Access-Control-Allow-Headers: Authorization 
Access-Control-Max-Age: 1728000 
Access-Control-Allow-Credentials: true 
WWW-Authenticate: Basic realm="Authorisation Required" 

Klient:

GET /api/resource HTTP/1.1 
Access-Control-Allow-Credentials: true 
Authorization: Basic base64encodedUserAndPassword 
Access-Control-Request-Method: GET 
Origin: http://jsconsole.com 

Serwer: nagłówka odpowiedzi

HTTP/1.1 200 OK 
Access-Control-Allow-Origin: * 
Access-Control-Allow-Methods: POST, GET, PUT, DELETE 
Access-Control-Allow-Headers: Authorization 
Access-Control-Max-Age: 1728000 
Access-Control-Allow-Credentials: true 

Answer 1

Jeśli żądasz poświadczeń to serwer musi reagować z określonego pochodzenia w Access-Control-Allow-Origin (i dlatego nie może używać symbolu wieloznacznego *). Oczywiście wtedy również musiałby odpowiedzieć nagłówkiem odpowiedzi Access-Control-Allow-Credentials.