Basic认证中realm参数是否仍为必填项？

一方面，《RFC 7617第2节》明确指出，在Basic认证方案中参数realm为必填项：

The Basic authentication scheme utilizes the Authentication Framework as follows.

In challenges:
o  The scheme name is "Basic".
o  The authentication parameter 'realm' is REQUIRED ([RFC7235], Section 2.2).

另一方面，Mozilla文档中在WWW-Authenticate头描述的Basic部分将realm参数标记为可选，且语法部分进一步确认了这一点：

For example, Basic authentication allows for optional realm and charset keys, but does not support token68.

WWW-Authenticate: Basic
WWW-Authenticate: Basic realm=<realm>
WWW-Authenticate: Basic realm=<realm>, charset="UTF-8"

此外，Stackoverflow的一则回答提到realm不再是始终必填的，并关联到《RFC 7235第4.1节》。但除了《RFC 7235附录A》中的这段内容外，在该RFC中找不到此说法的直接依据（说服力有限，尤其是该RFC发布于2014年，而RFC 7617发布于2015年）：

Appendix A.  Changes from RFCs 2616 and 2617

The framework for HTTP Authentication is now defined by this document, rather than RFC 2617.

The "realm" parameter is no longer always required on challenges; consequently, the ABNF allows challenges without any auth parameters. (Section 2)

另外，在实际情况中，如果WWW-Authenticate头中缺少realm参数，大多数现代浏览器仍能正常工作。

结论 #

从规范的权威性和时效性来看，RFC 7617作为Basic认证的专项现行规范（2015年发布），明确要求realm参数为必填项，这是严格遵循HTTP标准的要求。

但从实际实践角度，Mozilla文档将其标记为可选，且现代主流浏览器都能兼容不带realm的Basic认证场景。如果是追求规范合规性，建议始终包含realm参数；如果是注重实际兼容性且没有多域区分需求，省略realm也能正常运行。

内容的提问来源于stack exchange，提问作者A. Milto