Aloha ;)

Und dein Gedanke war, wenn ich es richtig verstanden habe, dem Browser nur einen Auth-Type anzubieten, den er garantiert nicht kennt, so dass er von vornherein darauf verzichtet, die Daten abzufragen - er wüsste ja sowieso nicht, wie er dann damit umgehen muss.

Ganz genau, ja.

Das ist auch irgendwie nachvollziehbar, nur: Welches Ziel hätte man damit erreicht? Welchen Zweck hätte die Auth-Aufforderung, wenn sie nicht erfüllbar ist? Dann kann ich doch das Auth-Gedöns auch gleich lassen - oder übersehen ich den eigentlichen Trick?

Die Antwort ist einfach. Ich kann dem User über die Seite, die mit dem 401-Header gesendet wird, eine Authentifizierungsmöglichkeit zukommen lassen - z.B. per Eingabemaske für Username und Passwort für den systemeigenen, z.b. PHP-/Session-basierten Login-Prozess, der sich ja durchaus von BASIC-AUTH unterscheiden kann, und trotzdem einen bedeutungsvollen HTTP-Statuscode senden - der z.B. Suchmaschinen davon abhält, die Loginmaske zu indizieren oder noch anderweitigen Zwecken dienen kann. Grundsätzlich bin ich schon der Meinung, dass eine Login-Wall (lies: eine Seite, die unangemeldete User zum Login auffordert und nur bei Angemeldeten Content ausliefert) mit einem 401-Statuscode daherkommen sollte.

Das ist auch der Zweck, den unser TO hier afaik zugrundeliegen hat: eine Loginanforderung, bei der kein Eingabefenster für BASIC-AUTH aufpoppen soll...

Kann man von einem Hack reden, wenn man dem Browser sagt: "Dein user muss sich authentifizieren, aber du kennst die Methode dafür nicht"? Eher nicht.

Nein, eher nicht. Aber von einer unlösbaren Aufgabe. ;-)

Nur weil der Browser die Methode nicht kennt, kennt sie der User eventuell trotzdem :P z.B. dann, wenn auf der mit 401 ausgelieferten Seite ein Loginformular (oder ein Captcha, oder ...) liegt ;)

Grüße,

RIDER

P.S.: Mir kam grad die abgefahrene Idee, User erst dann hinter die Tür meiner Login-Wall zu lassen, wenn sie das dort hinterlegte Türöffner-Kreuzworträtsel gelöst haben. Oder wenn sie eine Passage aus Homer's Odyssee übersetzt haben... oh man - hätte das Style :D okay, ich hätte bald keine Besucher mehr... aber wer braucht die schon xD