[kagemai-users:0132] Re: 認証つきの画面制御

[FUKUOKA Tomoyuki <fukuoka@xxxxxxxxxxxxx>]

福岡です。

Nobuyoshi Nagashima san wrote:
 
| 以下は、実際に行った操作です。
| 制御をかけているのは、admin.cgi,user.cgiです。
(snip) 
| ログアウトを選択
| ↓
| (8)http://va60j.localdomain.com/public_html/kagemai/html/guest.cgi?project=JPKI&action=top
| ↓
| 再度、
| ログインを押したにもかかわらず
| 認証ダイアログがでない（これがおかしい）
| (8)、(9)はguest.cgiからuser.cgiなので、認証画面が出てこないとおかしいです。
| (9)http://va60j.localdomain.com/public_html/kagemai/html/user.cgi?project=JPKI&action=top

2 -> 3 で user.cgi にアクセスするときに一度 user id と password を
入れているので、8 -> 9 のときには、その情報を使って（自動的に）
認証情報をサーバに送ることがブラウザには許されています(RFC 2617)。
なので、8 -> 9 で認証ダイアログが出ないのは特におかしな挙動とは
いえません。

逆に、自動的に認証情報を再送することが許されているはずの部分
(4 -> 5など)で認証ダイアログが表示される理由がわからないわけ
ですね。


ここまでの情報からでは、どうして問題が発生しているのかが
わからないため、私も、やまだあきらさんが書かれているように
プロトコルレベルでどのようなやりとりがあるかを見てみるのが
いいのではないかと思います。

もし ethereal やその類のツールを使ったことがなければ、
leakproxy.rb がたぶんお手軽ではないかと。

-- 
福岡ともゆき <fukuoka@xxxxxxxxxxxxx>
http://www.daifukuya.com/