Spring Security Basic认证场景下，浏览器为何不发送Authorization请求头？

这其实是浏览器针对HTTP Basic认证的内置行为逻辑导致的：

• 当你在URL中使用http://user:password@domain这种格式时，浏览器并不会无条件自动发送Authorization头。它只会在检测到服务器返回401 Unauthorized响应，并且响应头中包含WWW-Authenticate: Basic realm="..."时，才会提取URL里的凭证，生成对应的Authorization头并重新发起请求。
• 你提到已经禁用了Spring Security的默认认证入口点，只返回401但不携带WWW-Authenticate头。这就导致浏览器无法识别当前需要使用Basic认证方式，自然不会触发从URL中提取凭证并添加Authorization头的操作。

根据你的需求（避免浏览器弹出认证弹窗，同时让浏览器能发送Authorization头），可以参考以下两种方案：

方案1：自定义认证入口点，携带WWW-Authenticate头但规避弹窗 #

虽然通常WWW-Authenticate头会触发浏览器弹窗，但你可以通过自定义配置来平衡需求。在Spring Security中设置自定义入口点，返回401的同时添加WWW-Authenticate: Basic头（可以不设置具体realm值），部分浏览器不会弹出认证弹窗，同时能触发凭证提取逻辑：

http.exceptionHandling()
    .authenticationEntryPoint((request, response, authException) -> {
        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        // 仅添加Basic标识，不设置realm
        response.addHeader("WWW-Authenticate", "Basic");
    });

这样浏览器会识别到需要Basic认证，自动从URL中提取凭证发送Authorization头，同时大概率不会触发内置的认证弹窗（不同浏览器表现略有差异，建议测试验证）。

方案2：前端手动构造Authorization头 #

既然你已经可以通过JavaScript正常连接服务器，完全可以由前端主动控制认证头的发送。比如通过页面表单收集用户凭证（不建议从URL解析，因为凭证会暴露在历史记录、日志中），然后在AJAX请求时添加头：

// 示例：通过表单获取凭证并构造请求头
const username = document.getElementById('username').value;
const password = document.getElementById('password').value;
const base64Credentials = btoa(`${username}:${password}`);

fetch('/user', {
    headers: {
        'Authorization': `Basic ${base64Credentials}`
    }
})
.then(response => response.json())
.catch(error => console.error('请求失败:', error));

这种方式完全绕过浏览器的内置认证逻辑，不会触发弹窗，同时更安全（避免URL暴露凭证）。

补充说明 #

• curl等命令行工具不受浏览器这个限制，它们会直接解析URL中的凭证并发送Authorization头，不需要服务器的WWW-Authenticate头触发。
• 生产环境强烈不建议在URL中携带用户密码，这种方式存在明显的安全风险（凭证易泄露），优先考虑表单登录或其他更安全的认证方式。

内容的提问来源于stack exchange，提问作者zeralight