Laravel 5.4下HTTP Basic Authentication偶发失效提示无效凭证无弹窗

问题根因 #

你遇到的问题是Chrome的默认凭证自动提交逻辑+Laravel默认基础认证中间件的响应头缺失共同导致的：

• Chrome会自动为匹配到已存储密码的站点请求自动携带Authorization: Basic头，不会询问用户，当存储的凭证失效时，就会直接发送无效凭证
• Laravel默认的auth.basic中间件校验失败后，部分场景下返回的401响应未携带符合规范的WWW-Authenticate头，或者响应被浏览器识别为异步请求，导致不会触发认证弹窗

临时修复方案（访问端） #

直接删除Chrome中对应站点存储的无效密码即可：

• 打开Chrome设置 -> 自动填充 -> 密码管理器
• 在已保存的密码列表中找到你的站点条目，点击删除
• 重启浏览器后重新访问即可正常弹出认证窗口

永久修复方案（代码端） #

方案1：重写基础认证中间件（推荐） #

1. 生成自定义中间件

php artisan make:middleware CustomBasicAuth

2. 编写中间件逻辑，替换默认的auth.basic逻辑，确保校验失败时返回正确的响应头：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Facades\Auth;

class CustomBasicAuth
{
    public function handle($request, Closure $next, $guard = null)
    {
        if (Auth::guard($guard)->onceBasic()) {
            return response()->make('Unauthorized', 401, [
                'WWW-Authenticate' => 'Basic realm="Admin Area"',
                'Cache-Control' => 'no-cache, no-store, must-revalidate',
                'Pragma' => 'no-cache',
                'Expires' => '0'
            ]);
        }

        return $next($request);
    }
}

3. 在app/Http/Kernel.php中注册新的中间件，替换原有auth.basic的绑定，或者新增一个单独的别名：

protected $routeMiddleware = [
    // 原有其他中间件保留
    'auth.basic' => \App\Http\Middleware\CustomBasicAuth::class,
];

方案2：修改异常处理器 #

如果你不想重写中间件，也可以在app/Exceptions/Handler.php的render方法中，捕获认证失败异常，手动返回正确响应：

public function render($request, Exception $exception)
{
    if ($exception instanceof \Illuminate\Auth\AuthenticationException) {
        return response()->make('Invalid credentials', 401, [
            'WWW-Authenticate' => 'Basic realm="Admin Area"',
            'Cache-Control' => 'no-cache, no-store, must-revalidate'
        ]);
    }

    return parent::render($request, $exception);
}

额外注意事项 #

• 如果你的认证请求是前端异步发起的AJAX/fetch请求，需要在请求配置中添加withCredentials: true（AJAX）或credentials: 'include'（fetch），否则浏览器会拦截WWW-Authenticate头，不会弹出认证窗口
• 尽量使用HTTPS部署站点，Chrome 80+版本对HTTP站点的基础认证有额外的安全限制，容易出现不弹框的问题

内容的提问来源于stack exchange，提问作者Martin Zvarík