一个页面会发出不止一个请求。即便应答了第一个代理登录框,脚本、图片或长连接仍可能走其他路由,并收到其他质询。

  1. 找出失败的资源。 记录它的目标、所选代理和 407 质询。把同样的字段与一个成功的资源作对比;只看主页面 URL 是不够的。
  2. 寻找共同的差异。 失败可能沿着同一个资源主机、不同的 HTTP/HTTPS 路径、某个扩展,或PAC 决策出现。一个端点接受了登录,并不能证明另一个端点也会接受。认证缓存还取决于质询、身份和路由范围。
  3. 修复被定位的那次交互。 修正路由、账户或受支持的认证行为,然后同时检查页面行为和资源结果。

在弄清上述范围之前,反复输入同一个密码提供不了多少证据。早期浏览器绕过手段,例如禁用 WebSockets、屏蔽脚本或更换扩展,可能移除触发弹窗的请求,同时也移除了必需的功能。

屏蔽不需要的资源可以是有意的策略选择。请把这种结果描述为屏蔽,而不是认证已可用的证明。缺少所需实时连接的安静页面,与按预期路由正常工作的页面并不等同。

相关文章