Demandes python 401 non autorisées

Juste au cas où l'authentification HTTP n'est pas clairement comprise ici, je vais expliquer comment cela fonctionne.

1. Vous demandez une ressource HTTP de manière habituelle, avec tous les en-têtes, vous pensez avoir besoin

2. Si le contenu ou la zone (c'est-à-dire REALM) est protégé par mot de passe, le serveur renvoie 401 erreur. La réponse contient l'en-tête www-authentifier qui vous indique quelle méthode d'authentification à utiliser lors de la réponse au serveur et à ce que cela s'applique.

3. Si vous recevez le 401, vous répétez votre demande au serveur, mais vous ajoutez l'en-tête d'autorisation à la demande. Son contenu varie en fonction de la méthode utilisée, c'est-à-dire que celle-ci étant demandée par le serveur dans la première réponse. Pour la méthode d'authentification de base, votre autorisation doit avoir le mot de base en tant que premier "argument", puis le nom d'utilisateur et le mot de passe séparé à l'aide de la signature du côlon ":", mais cette chaîne doit être codée de base64. Vous pouvez faire:

   en-têtes ["Autorisation"] = "BASIC" + ((("% s:% S"% (nom d'utilisateur, mot de passe)). Encodé ("base64")

   Ceci est conçu pour prendre en charge les navigateurs et les dialogues d'interface graphique. Lorsqu'un navigateur reçoit 401, il apparaît une boîte de dialogue vous demandant un nom d'utilisateur et un mot de passe. Lorsque vous cliquez sur OK, il répète la demande avec l'en-tête d'autorisation ajoutée à celui-ci. À partir de ce point, le navigateur envoie toujours l'en-tête d'autorisation pour continuer à être connecté, jusqu'à ce qu'un autre 401 soit reçu pour un autre domaine. Le royaume est utilisé de sorte que le navigateur puisse modifier les informations d'identification automatiquement Doring de la session en fonction du serveur RealM, sans vous demander de les saisir à nouveau chaque fois que le même domaine est demandé. C'est parce que vous pouvez avoir des zones différentes de fichiers protégés avec différents mots de passe ou plusieurs comptes sur le même serveur, etc.

   Maintenant, pour des raisons de sécurité et de normalisation, un serveur peut toujours refuser une première demande, peu importe si Il reçoit déjà l'en-tête d'autorisation. En fait, cela peut le voir comme une violation de la sécurité si vous envoyez l'autorisation avant que l'authentification www n'ait pas été demandée. Certains serveurs l'ont envoyé une fois et s'attend à ce que l'autorisation soit présente à partir de ce point et ne répétez que 401 si elle disparaît des demandes supplémentaires d'un client. L'autre enverra toujours 401 puis attendez-vous à la demande répétée. Certains vont également couper votre accès complètement et vous recevrez le 403 interdit si vous envoyez les informations d'identification incorrectes. 3 fois de suite. De plus, si le serveur utilise l'authentification de base, cela signifie généralement que le serveur utilise HTTPS, et non http. Comme les données envoyées sont faciles à intercepter et à lire sur un lien HTTP, si HTTP est utilisé, une autre méthode cryptée et cryptée sera invitée à préserver la sécurité. Donc, le serveur peut également vous refuser si vous envoyez une en-tête d'autorisation avec une méthode de base via le HTTP au lieu de https.

   La fonctionnalité du serveur que j'ai décrit ci-dessus (procédure d'authentification standard HTTP) est la raison pour laquelle vous obtenez parfois et parfois, vous recevez 401 à nouveau. La méthode que vous traitez est de ne jamais envoyer d'en-tête d'autorisation à moins que vous ne receviez d'abord 401. Utiliser Urllib pour faire face à cela est facile car un HTTPerror () sera soulevé pour le 401 non autorisé. Donc, vous voudriez simplement: xxx

   Vous devez voir si le serveur envoie 401 chaque fois ou une seule fois. Comme vous utilisez des demandes, vous devrez vérifier un code de réponse à l'aide de l'attribut Réponses sans essayer, sauf le blocage. Ou basculer sur stdlib urllib / urllib2. C'est ce que je ferais ce que je ferais comme il semble que vous n'utilisez pas de fonctionnalités des demandes telles que des sessions, mais envoyez des cookies à chaque fois manuellement.

   La vraie question ici est ce qu'on attend de JSON et à quoi d'en-têtes HTTP . Sont tous deux nécessaires ou un seul d'entre eux. Vous devrez juste avoir à expérimenter. Cela me semble que l'API effectue l'authentification HTTP, même si vous n'envoyez que des informations d'identification via des données. Mais ...