如何仅用HTML实现邮件表单发送带Authorization头的HTTP请求？

针对邮件表单无法携带Basic认证请求头的问题，给你几个实用的替代方案：

方案一：生成带签名的专属操作URL #

给每个用户的操作生成唯一的、带验证签名的URL，示例代码：

<form action="my-domain/api/handle-action?user_id=123&token=abcdef123456" method="POST">
  <button type="submit" name="action" value="approve">批准</button>
  <button type="submit" name="action" value="reject">拒绝</button>
</form>

• 其中token是服务器端生成的专属凭证，和用户ID绑定，并且设置过期时间，还可以加入签名防止篡改。
• 服务器收到请求后，先验证token的合法性（是否匹配用户ID、是否过期、签名是否有效），再根据action参数执行对应的批准/拒绝操作。

方案二：在表单中添加隐藏验证字段 #

放弃Basic认证，改用表单隐藏字段传递验证信息，示例代码：

<form action="my-domain/api/endpoint" method="POST">
  <input type="hidden" name="user_id" value="123">
  <input type="hidden" name="auth_token" value="abcdef123456">
  <button type="submit" name="action" value="approve">批准</button>
  <button type="submit" name="action" value="reject">拒绝</button>
</form>

• auth_token同样是服务器为该用户生成的一次性/限时凭证，服务器端先校验user_id和auth_token的有效性，再处理操作请求。

方案三：嵌入认证信息到URL（不推荐） #

如果是临时应急场景，可以把Basic认证的用户名和密码直接嵌入到URL中：

<form action="https://username:password@my-domain/api/endpoint" method="POST">
  <button type="submit" name="action" value="approve">批准</button>
  <button type="submit" name="action" value="reject">拒绝</button>
</form>

但这种方式风险很高，URL会被记录在服务器日志、浏览器历史等地方，绝对不推荐用于重要操作。

关键注意事项 #

• 所有验证凭证（token）必须是一次性的或者有严格的过期时间，防止重复提交或恶意调用。
• 建议对凭证进行签名处理，比如用HMAC算法生成签名，服务器端验证签名确保参数未被篡改。

内容的提问来源于stack exchange，提问作者Aryan Marwaha