如何使用 HttpWebRequest 进行摘要身份验证？

Question

各种文章（1、2) 我发现这看起来很简单：

WebRequest request = HttpWebRequest.Create(url);

var credentialCache = new CredentialCache();
credentialCache.Add(
  new Uri(url), // request url
  "Digest", // authentication type
  new NetworkCredential("user", "password") // credentials
);

request.Credentials = credentialCache;

但是，这只适用于没有 URL 参数的 URL。例如，我可以很好地下载 http://example.com/test/xyz.html ，但是当我尝试下载 http://example.com/test?page= xyz，结果是一条 400 Bad Request 消息，在服务器日志中包含以下内容（运行 Apache 2.2）：

Digest: uri mismatch - </test> does not match request-uri </test?page=xyz>

我的第一个想法是摘要规范要求从摘要哈希中删除 URL 参数 - 但删除传递给 credentialCache.Add() 的 URL 参数没有改变任何事情。因此，情况肯定是相反的，.NET 框架中的某个地方错误地从 URL 中删除了参数。

Answer 1

从这篇文章中获取的代码对我来说非常有效 通过 HttpWebRequest 实现摘要身份验证C#

我遇到了以下问题，当我在浏览器中浏览 feed url 时，它会要求输入用户名和密码并且工作正常，但是上述任何代码示例在检查请求/响应标头（在 web 中）时都不起作用Firefox 中的开发人员工具）我可以看到标头具有摘要类型的授权。

步骤 1 添加：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Security.Cryptography;
using System.Text.RegularExpressions;
using System.Net;
using System.IO;

namespace NUI
{
    public class DigestAuthFixer
    {
        private static string _host;
        private static string _user;
        private static string _password;
        private static string _realm;
        private static string _nonce;
        private static string _qop;
        private static string _cnonce;
        private static DateTime _cnonceDate;
        private static int _nc;

    public DigestAuthFixer(string host, string user, string password)
    {
        // TODO: Complete member initialization
        _host = host;
        _user = user;
        _password = password;
    }

    private string CalculateMd5Hash(
        string input)
    {
        var inputBytes = Encoding.ASCII.GetBytes(input);
        var hash = MD5.Create().ComputeHash(inputBytes);
        var sb = new StringBuilder();
        foreach (var b in hash)
            sb.Append(b.ToString("x2"));
        return sb.ToString();
    }

    private string GrabHeaderVar(
        string varName,
        string header)
    {
        var regHeader = new Regex(string.Format(@"{0}=""([^""]*)""", varName));
        var matchHeader = regHeader.Match(header);
        if (matchHeader.Success)
            return matchHeader.Groups[1].Value;
        throw new ApplicationException(string.Format("Header {0} not found", varName));
    }

    private string GetDigestHeader(
        string dir)
    {
        _nc = _nc + 1;

        var ha1 = CalculateMd5Hash(string.Format("{0}:{1}:{2}", _user, _realm, _password));
        var ha2 = CalculateMd5Hash(string.Format("{0}:{1}", "GET", dir));
        var digestResponse =
            CalculateMd5Hash(string.Format("{0}:{1}:{2:00000000}:{3}:{4}:{5}", ha1, _nonce, _nc, _cnonce, _qop, ha2));

        return string.Format("Digest username=\"{0}\", realm=\"{1}\", nonce=\"{2}\", uri=\"{3}\", " +
            "algorithm=MD5, response=\"{4}\", qop={5}, nc={6:00000000}, cnonce=\"{7}\"",
            _user, _realm, _nonce, dir, digestResponse, _qop, _nc, _cnonce);
    }

    public string GrabResponse(
        string dir)
    {
        var url = _host + dir;
        var uri = new Uri(url);

        var request = (HttpWebRequest)WebRequest.Create(uri);

        // If we've got a recent Auth header, re-use it!
        if (!string.IsNullOrEmpty(_cnonce) &&
            DateTime.Now.Subtract(_cnonceDate).TotalHours < 1.0)
        {
            request.Headers.Add("Authorization", GetDigestHeader(dir));
        }

        HttpWebResponse response;
        try
        {
            response = (HttpWebResponse)request.GetResponse();
        }
        catch (WebException ex)
        {
            // Try to fix a 401 exception by adding a Authorization header
            if (ex.Response == null || ((HttpWebResponse)ex.Response).StatusCode != HttpStatusCode.Unauthorized)
                throw;

            var wwwAuthenticateHeader = ex.Response.Headers["WWW-Authenticate"];
            _realm = GrabHeaderVar("realm", wwwAuthenticateHeader);
            _nonce = GrabHeaderVar("nonce", wwwAuthenticateHeader);
            _qop = GrabHeaderVar("qop", wwwAuthenticateHeader);

            _nc = 0;
            _cnonce = new Random().Next(123400, 9999999).ToString();
            _cnonceDate = DateTime.Now;

            var request2 = (HttpWebRequest)WebRequest.Create(uri);
            request2.Headers.Add("Authorization", GetDigestHeader(dir));
            response = (HttpWebResponse)request2.GetResponse();
        }
        var reader = new StreamReader(response.GetResponseStream());
        return reader.ReadToEnd();
    }
}

}

调用新方法

DigestAuthFixer digest = new DigestAuthFixer(domain, username, password);
string strReturn = digest.GrabResponse(dir);

步骤 2：如果 Url 为：http://xyz.rss.com/，则 文件夹/RSS
然后
域：http://xyz.rss.com（域部分）
dir:/folder/rss（url 的其余部分）

您也可以将其作为流返回并使用 XmlDocument Load() 方法。

Answer 2

您说您删除了查询字符串参数，但是您是否尝试一直返回到主机？我见过的 CredentialsCache.Add() 的每个示例似乎仅使用主机，并且 CredentialsCache.Add() 将 Uri 参数列为“uriPrefix”，这似乎很能说明问题。

换句话说，尝试一下：

Uri uri = new Uri(url);
WebRequest request = WebRequest.Create(uri);

var credentialCache = new CredentialCache(); 
credentialCache.Add( 
  new Uri(uri.GetLeftPart(UriPartial.Authority)), // request url's host
  "Digest",  // authentication type 
  new NetworkCredential("user", "password") // credentials 
); 

request.Credentials = credentialCache;

如果这有效，您还必须确保不会多次向缓存添加相同的“权限”...对同一主机的所有请求都应该能够使使用相同的凭证缓存条目。

Answer 3

在早期的答案中，每个人都使用过时的 WEbREquest.Create 方法。
所以这是我的异步解决方案，是最近趋势的最新内容：

public async Task<string> LoadHttpPageWithDigestAuthentication(string url, string username, string password)
    {
        Uri myUri = new Uri(url);
        NetworkCredential myNetworkCredential = new NetworkCredential(username, password);
        CredentialCache myCredentialCache = new CredentialCache { { myUri, "Digest", myNetworkCredential } };
        var request = new HttpClient(new HttpClientHandler() { Credentials = myCredentialCache, PreAuthenticate = true});

        var response = await request.GetAsync(url);

        var responseStream = await response.Content.ReadAsStreamAsync();

        StreamReader responseStreamReader = new StreamReader(responseStream, Encoding.Default);

        string answer = await responseStreamReader.ReadToEndAsync();

        return answer;
    }

Answer 4

解决办法是在apache中激活这个参数：

    BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On 

更多信息：http://httpd.apache.org/docs/2.0/ mod/mod_auth_digest.html#msie

然后在 webrequest 对象的代码中添加此属性：

    request.UserAgent = "MSIE"

它对我来说非常有效

Answer 5

我认为第二个 URL 指向动态页面，您应该首先使用 GET 调用它来获取 HTML，然后下载它。虽然没有这方面的经验。