自定义认证场景下如何向浏览器传递身份验证Realm信息？

为什么直接返回WWW-Authenticate头无效？ #

浏览器只有在收到401 Unauthorized状态码，且WWW-Authenticate头明确指定Basic或Digest这类标准认证方案时，才会触发原生的Realm关联凭据存储逻辑。你的自定义认证是通过302跳转至登录页，状态码和认证方案都不符合浏览器原生存储的触发条件，所以Realm信息不会被识别存储。

自定义认证场景下传递Realm并实现凭据分离的方案 #

针对Tomcat 9.x环境，你可以通过以下几种方式实现不同服务的账号密码分离存储：

1. 结合原生认证与自定义登录页（推荐）

对不同服务的路径（如/service-a/*、/service-b/*），在自定义过滤器中先返回401状态码+对应Realm的WWW-Authenticate头：

response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
response.setHeader("WWW-Authenticate", "Basic realm=\"ServiceA\"");

• 如果用户选择使用浏览器原生弹窗登录，浏览器会自动按Realm存储对应凭据；
• 如果用户关闭弹窗，前端可监听401状态，跳转到自定义登录页并携带Realm参数（如login.html?realm=ServiceA），登录时将Realm与账号密码一同提交后端。

2. 前端自定义凭据存储逻辑

在自定义登录页中添加隐藏字段或通过URL参数接收Realm标识，登录成功后，使用localStorage或sessionStorage将账号密码与Realm绑定存储：

// 登录成功后存储
const realm = new URLSearchParams(window.location.search).get('realm');
localStorage.setItem(`credentials_${realm}`, JSON.stringify({username, password}));

// 后续请求时自动读取对应Realm的凭据
const targetRealm = getRealmFromCurrentPath(); // 根据当前路径判断所属服务Realm
const creds = JSON.parse(localStorage.getItem(`credentials_${targetRealm}`));
// 将creds添加到请求头或表单中提交

后端过滤器需验证提交的凭据与Realm是否匹配，并维护会话与Realm的关联。

3. Tomcat Realm扩展配置

Tomcat支持自定义Realm实现，你可以扩展org.apache.catalina.Realm接口，在其中根据请求的服务标识（如URL、请求头）动态匹配对应的认证数据源，实现同一应用下不同服务的账号密码分离。这种方式无需前端额外处理，后端直接完成凭据的区分验证。

注意事项 #

• 浏览器原生凭据存储与域名+Realm绑定，同一域名下不同Realm的凭据会分开存储；跨子域名场景需配置Tomcat的CORS过滤器允许凭据共享。
• 自定义存储的凭据需注意安全性，建议使用HTTPS传输，避免明文存储密码（可存储加密后的凭据）。

内容的提问来源于stack exchange，提问作者Impatient Hippo