最近在實作登入後轉頁的功能,
由於 web server 是用 basic auth, 想偽裝成 form-based 的流程.
但是遇到一個比較棘手的問題,
認證成功後, 要轉頁到需要登入的頁面, 這個時候會在 url 前面帶入帳號密碼,
http://username:password@XXX.XXX.XXX
但是 username/password 出現在 url 上面實在很不安全, 不曉得各位有什麼建議?
目前想到的是轉頁的時候, 把 header 改掉, 但是 js 似乎沒有這個權限.
location.href or window.open 目前看起來都是不支援修改 header..
事實上目前似乎只有 ajax 可以動態調整 header..

你要安全，應該是後端webserver前加一層專門rewrite

如果你是要遮網址就用iframe處理就好基本上http是明文傳輸 所以對於私密資料上，無論如何都不是安全的唯一可加強的是用aes配合有時效性的加密來處理不過這要自幹的東西更多