非HTTPS环境下ESP8266基于SHA-256的摘要认证浏览器实现问询

1. 浏览器原生是否支持SHA-256的HTTP摘要认证？ #

浏览器的原生自动登录弹窗（收到401后弹出的系统级登录框）仅支持MD5算法的摘要认证。这是因为早期HTTP摘要认证标准（RFC 2617）仅定义了MD5，后续RFC 7616扩展的SHA-256等算法并未被主流浏览器的原生认证逻辑兼容。如果是自定义登录页手动生成Authorization头，浏览器没有内置的SHA-256摘要认证处理逻辑，必须自行实现哈希计算。

2. 实现SHA-256摘要认证是否需要自行编写哈希函数？ #

是的。非HTTPS环境下浏览器会禁用SubtleCrypto API，无法调用内置的SHA-256计算能力，你需要在登录页的JS代码中嵌入纯JavaScript实现的SHA-256哈希函数。这类轻量实现很多，找一个精简版本即可，完全在JS层面完成哈希计算，不需要依赖任何浏览器API。

3. 非HTTPS环境禁用哈希功能的安全意义 #

浏览器限制非HTTPS下的SubtleCrypto是为了降低中间人攻击风险：在HTTP明文传输环境中，攻击者可以篡改页面内容、注入恶意脚本，一旦脚本能调用哈希API，就可以窃取用户输入的敏感数据（比如密码）的哈希值，甚至伪造认证请求。HTTPS通过加密传输和身份验证，能防止页面被篡改和数据被窃取，因此浏览器只在HTTPS环境下开放这类敏感加密API。你的设备在局域网内风险极低，但浏览器的安全策略是全局统一的，不会区分局域网和公网场景。

4. 关于摘要认证的适用场景 #

你的观点是正确的：摘要认证确实是为HTTP明文环境设计的，核心目的是避免明文传输密码；但在HTTPS环境下，整个通信链路已经被加密，Basic认证（配合HTTPS）就能安全传输凭证，更复杂的摘要认证反而没必要。HTTPS下还有OAuth、JWT等更完善的身份验证方案，安全性和灵活性都比摘要认证更好。

内容的提问来源于stack exchange，提问作者Dan Forever