如何设置浏览器每次请求都触发Basic身份验证弹窗

兄弟，我太懂你碰到的这个问题了——用HttpListener搭了个带Basic认证的服务，第一次访问浏览器会弹出账号密码输入框，但刷新页面就直接跳过验证了，想让每次请求都得重新走一遍认证流程对吧？

其实这是浏览器的默认行为：它会把你第一次输入的Basic认证凭据存在本地缓存里，后续同域名的请求会自动带上认证头，除非缓存被清除或者过期（就像你说的清完浏览器缓存/相关数据后会重新弹窗）。咱们要做的就是从服务器响应入手，明确告诉浏览器“别存这个认证信息，每次请求都得问我”。

具体解决方案 #

你只需要在处理每个请求的响应时，添加几个关键的HTTP响应头，强制浏览器不缓存认证凭据，并且每次都要求重新验证：

static void Main(string[] args)
{
    var listener = new HttpListener();
    listener.Prefixes.Add("http://localhost:1111/");
    
    listener.AuthenticationSchemes = AuthenticationSchemes.Basic;
    listener.Start();

    Console.WriteLine("Ctrl+C to stop.");

    while (true)
    {
        var context = listener.GetContext();
        var request = context.Request;
        var response = context.Response;

        // 核心：添加禁止缓存的响应头，强制浏览器每次都重新验证
        response.Headers.Add("Cache-Control", "no-cache, no-store, must-revalidate");
        response.Headers.Add("Pragma", "no-cache");
        response.Headers.Add("Expires", "0");
        // 每次响应都返回WWW-Authenticate头，让浏览器知道需要重新认证
        response.Headers.Add("WWW-Authenticate", "Basic realm=\"MySecureService\"");

        if (request.IsAuthenticated)
        {
            byte[] buffer = Encoding.UTF8.GetBytes("<html>Happy end</html>");
            response.ContentLength64 = buffer.Length;
            var output = response.OutputStream;
            output.Write(buffer, 0, buffer.Length);
            output.Close();
        }
        else
        {
            // 未认证时返回401状态码，确保浏览器触发弹窗
            response.StatusCode = 401;
            response.Close();
        }
    }
}

关键头的作用解释 #

• Cache-Control: no-cache, no-store, must-revalidate：三重保障，彻底禁止浏览器缓存任何内容（包括认证凭据），每次请求都必须从服务器获取最新响应；
• Pragma: no-cache：兼容还在使用HTTP/1.0协议的老旧浏览器；
• Expires: 0：设置缓存立刻过期，不给浏览器留缓存的机会；
• WWW-Authenticate: Basic realm="xxx"：每次响应都返回这个头，哪怕用户已经通过认证，浏览器就不会把凭据存在本地，每次请求都会重新弹出认证窗口。

顺带提一句：你说清cookie会重新触发认证，其实Basic认证的凭据并不是存在cookie里的，而是浏览器存在自身的缓存中，不过设置上面的响应头后，就不用手动清缓存了，每次刷新都会自动弹窗。

备注：内容来源于stack exchange，提问作者Тимофей