进行HTTP摘要认证出错，没有qop参数的时候会报错

[DarkiT]

例如使用HTTP摘要认证登陆华为设备会提示：digest: qop must be specified 华为设备返回的摘要信息如下: WWW-Authenticate: Digest realm="Huawei",nonce="66f38e5ec6ebedc7c65c16f1c0ea3f46", algorithm=SHA-256

[imroc]

看起来设备没遵循RFC规范，qop是WWW-Authenticate响应中必带的参数：

qop

This parameter MUST be used by all implementations. It is a quoted string of one or more tokens indicating the "quality of protection" values supported by the server. The value "auth" indicates authentication; the value "auth-int" indicates authentication with integrity protection. See the descriptions below for calculating the response parameter value for the application of this choice. Unrecognized options MUST be ignored.

参考：https://httpwg.org/specs/rfc7616.html#authorization.request.header.field

[imroc]

我在想，为了提升使用的便利性，req也不必遵循规范，当响应中没有 qop 参数时，默认指定为 auth

[imroc]

已经release了个小版本，你可以升级试下

[DarkiT]

试了下，不行，我提交了一个Pull请求来处理了这个问题，您看看 更新

[imroc]

@DarkiT 最新版做了微调，没用正则，试试看

[DarkiT]

@imroc 获取摘要参数没问题，validateQop() 和 resp() 方法需要修改下，不然计算出来的摘要信息过不了验证。

func (c *credentials) validateQop() error {
    if c.messageQop == "" {
        return nil
    }
    possibleQops := strings.Split(c.messageQop, ", ")
    var authSupport bool
    for _, qop := range possibleQops {
        if qop == "auth" {
            authSupport = true
            break
        }
    }
    if !authSupport {
        return errDigestQopNotSupported
    }

    return nil
}

func (c *credentials) resp() (string, error) {
    c.nc++

    b := make([]byte, 16)
    _, err := io.ReadFull(rand.Reader, b)
    if err != nil {
        return "", err
    }
    c.cNonce = fmt.Sprintf("%x", b)[:32]

    ha1 := c.ha1()
    ha2 := c.ha2()

    if len(c.messageQop) == 0 {
        return c.h(fmt.Sprintf("%s:%s:%s", ha1, c.nonce, ha2)), nil
    }
    return c.kd(ha1, fmt.Sprintf("%s:%08x:%s:%s:%s",
        c.nonce, c.nc, c.cNonce, c.messageQop, ha2)), nil
}

[imroc]

@DarkiT 默认qop已经赋值auth了，相当于默认按auth方式计算摘要，怎么会过不了验证呢

[DarkiT]

主要是这种不标准的摘要在摄像头及流媒体认证里面使用的很广 ，跟常见的网站摘要认证有区别，比如海康、华为的摄像头北向接口基本上都是这种摘要认证，是没有qop参数的，都是这样的： WWW-Authenticate: Digest realm="Huawei",nonce="66f38e5ec6ebedc7c65c16f1c0ea3f46", algorithm=SHA-256 他们计算摘要的方式略有有点区别，只传入了 HA1、NONCE、HA2进行计算。 c.h(fmt.Sprintf("%s:%s:%s", ha1, c.nonce, ha2))

所以我们要在validateQop()方法这里判断messageQop为空也是允许的，不能给他指定auth，然后在resp()方法里面根据messageQop来判断使用哪种方式计算摘要信息。

[imroc]

明白了

[imroc]

@DarkiT 又 release了小版本，试试