Gmail中Basic HTTP Auth图片被代理改写无法加载的解决方法

• Gmail的图片加载默认走谷歌官方的googleusercontent.com代理服务，整个请求链路是：用户打开邮件 → 谷歌代理服务器主动请求配置的原始图片地址 → 代理服务器把拉取到的图片缓存后返回给用户浏览器。整个过程中发起图片请求的主体是谷歌的代理服务器，不是用户本地的浏览器，加在URL里的login:password@基础HTTP认证信息，本来是设计给浏览器访问源站时携带的，代理服务器既不会保留这部分凭据，也没有权限代用户传递认证信息给源站。
• 出于安全风控要求，谷歌代理在改写原始图片链接时，会主动剥离URL中的userinfo段（也就是login:password@这部分内容）。从给出的代理链接示例就能看到，原始URL会被编码后作为代理路径的参数传入，编码环节就会过滤掉明文的账号密码信息，根本不会把这部分内容拼接到回源请求里。
• 就算代理没有主动剥离凭据，基础HTTP认证的校验逻辑是源站识别请求头里的Authorization字段，代理回源的时候不会主动根据URL里的userinfo生成对应的认证请求头，源站收不到合法的认证信息，会直接返回401未授权或者403禁止访问的响应，图片自然无法加载。

• 改用预签名URL做资源鉴权：放弃HTTP基础认证的方式，为邮件内的图片生成带时效、带签名校验的可访问链接，这类链接本身不需要额外携带账号密码，只要签名合法、在有效期内源站就正常返回图片内容。谷歌代理回源时可以正常请求到资源，缓存后也能正常展示给用户。注意预签名的有效期不要设置过长，避免链接泄露后被盗刷。
• 邮件专用静态资源走公开无认证路径：把邮件营销、事务通知里用到的固定静态图片（比如logo、活动banner、提示图标等），单独放到公开访问的CDN或者静态资源路径下，关闭这部分路径的HTTP基础认证校验，从根源上避免鉴权冲突。
• 用Query参数携带短时效访问令牌：如果图片是和单个用户绑定的动态内容，不要把认证信息放在URL的userinfo位置，改成在图片URL的查询参数（Query）里携带一次性、极短有效期的访问token，源站校验query中的token合法就返回图片。这类查询参数不会被谷歌代理剥离，回源时会完整透传，可以正常通过鉴权。注意token要绑定单用户、单次使用，有效期建议设置在1小时以内，降低盗用风险。
• 私有敏感资源不要直接嵌入邮件：Gmail的图片代理是全局默认开启的，没有给发件人提供绕过代理的白名单通道。如果是涉及用户隐私的敏感图片，不要直接嵌在邮件正文里，可以改成邮件附件形式发送，或者放置引导跳转链接，让用户主动点击到自有站点完成登录认证后再查看。

内容的提问来源于stack exchange，提问作者Sanct