Mojolicious中如何实现仅需密码的单密码授权替代Basic-Auth

首先要明确：浏览器自带的标准Basic Auth弹窗由浏览器控制，本身强制包含用户名和密码两个输入框，无法通过后端配置直接隐藏用户名字段。不过可以通过以下方式实现“仅验证密码”的效果：

方案一：忽略用户名，仅验证密码 #

利用Basic Auth的机制，不管用户输入什么用户名（甚至空值），只要密码正确就通过认证。这种方式保留了浏览器的标准弹窗，只是对用户输入的用户名不做校验。

修改后的代码如下：

# 加载basic_auth插件，配置认证逻辑
plugin 'basic_auth', {
    realm => 'Restricted area',
    authenticator => sub {
        my ($username, $password) = @_;
        # 完全忽略用户名，只校验密码是否正确
        return $password eq 'correct_password';
    }
};

# 在需要认证的路由中使用
get '/restricted' => sub {
    my $c = shift;
    # 触发Basic Auth验证
    unless ($c->basic_auth) {
        return $c->render(
            json   => { error => 'Authentication failed' },
            status => 401
        );
    }
    $c->render(text => '已通过认证！');
};

效果说明 #

• 浏览器依然会弹出包含用户名和密码的标准弹窗
• 用户可以输入任意用户名（包括空字符串），只要密码填写正确就能通过认证
• 部分浏览器在用户名留空时可能会有提示，但不影响认证逻辑

方案二：自定义前端弹窗（非标准Basic Auth） #

如果必须完全隐藏用户名输入框，只能放弃浏览器的标准Basic Auth弹窗，自己实现前端登录表单。但这种方式不属于标准Basic Auth范畴，需要额外处理：

1. 在未认证时返回自定义登录页面，只包含密码输入框
2. 提交表单后，后端验证密码，通过后设置会话或自定义认证头

示例代码（简化版）：

# 路由处理
get '/restricted' => sub {
    my $c = shift;
    # 检查会话中的认证状态
    if ($c->session->{authenticated}) {
        return $c->render(text => '已通过认证！');
    }
    # 未认证则返回登录页面
    $c->render(template => 'login');
};

post '/login' => sub {
    my $c = shift;
    my $password = $c->param('password');
    if ($password eq 'correct_password') {
        $c->session->{authenticated} = 1;
        return $c->redirect_to('/restricted');
    }
    $c->render(text => '密码错误', status => 401);
};

对应的templates/login.html.ep模板：

<form method="post" action="/login">
    <label>密码：</label>
    <input type="password" name="password" required>
    <button type="submit">登录</button>
</form>

注意事项 #

• 这种方式不再使用HTTP Basic Auth协议，而是自定义认证流程
• 需要处理会话过期、CSRF防护等额外问题

内容的提问来源于stack exchange，提问作者Max