C#中HttpWebRequest访问htaccess保护页面的重定向认证问题

问题核心 #

你服务器端的HttpWebRequest能拿到200响应，是因为服务器请求时携带了Credentials，但浏览器跳转至第三方网站是独立的HTTP请求，不会自动继承服务器端的认证信息，所以浏览器会弹出登录窗口。第三方提到的UserInfo属性，就是把Basic认证的用户名密码直接嵌入URL，让浏览器自动携带认证头。

具体实现步骤 #

1. 构造带UserInfo的目标URI
   直接在第三方HTTPS URL中拼接用户名:密码@前缀（必须用HTTPS，避免明文泄露凭证）。
2. 修正代码逻辑
   服务器端请求仅用于提前验证凭证有效性，最终重定向到带UserInfo的URI即可。

修正后的代码示例 #

// 初始化凭证
string username = "[username]";
string password = "[password]";
SecureString sp = new SecureString();
foreach (char c in password)
{
    sp.AppendChar(c);
}
NetworkCredential myCredentials = new NetworkCredential(username, sp);

// 服务器端提前验证凭证有效性
string targetUrl = "https://[domain]/library/";
HttpWebRequest req = (HttpWebRequest)WebRequest.Create(targetUrl);
req.Credentials = myCredentials;
req.AllowAutoRedirect = false;

try
{
    using (var resp = (HttpWebResponse)req.GetResponse())
    {
        ViewBag.mssg += $"Response received: {resp.StatusCode}";
        
        // 构造带UserInfo的重定向URI
        UriBuilder uriBuilder = new UriBuilder(targetUrl);
        uriBuilder.UserName = username;
        uriBuilder.Password = password;
        string redirectUri = uriBuilder.ToString();
        
        // 重定向到带凭证的URI，浏览器会自动携带Basic认证头
        Response.Redirect(redirectUri);
    }
}
catch (WebException ex)
{
    // 处理认证失败场景
    ViewBag.mssg += $"Authentication failed: {ex.Message}";
    throw;
}

关键说明 #

• 原代码问题：你之前重定向的resp.ResponseUri不带UserInfo，浏览器无法自动识别认证信息，因此弹出登录框。
• UserInfo安全注意：HTTPS会加密传输过程，但URL的UserInfo部分可能被服务器日志、浏览器历史记录捕获，需确认第三方网站的安全合规性。
• 服务器端验证的作用：提前验证凭证是否正确，避免用户跳转到第三方后才发现认证失败。

替代方案（若禁止URL嵌入凭证） #

如果第三方不允许用URL嵌入凭证，只能让用户手动输入登录信息，或者通过前端JS在请求头添加Authorization头（但需第三方配置CORS允许携带认证头，否则会触发跨域限制）。

内容的提问来源于stack exchange，提问作者user3562286