Почему окно http авторизации появляется дважды?

Question

[m5xim]

Добрый день!

LAMP стек, сайт с http авторизацией, настроенной через .htaccess

AuthType Basic
AuthName 'Restricted Area'
AuthUserFile {$path}/.htpasswd
Require valid-user

В хроме все работает с первого раза, в Firefox для обычной страницы тоже, но стоит например добавить view-source:{$url} и опять появляется окно авторизации, если его отклонить то будет 401 код. Также периодически (~ 1 раз в 20 минут появляется запрос авторизации при загрузке обычных страниц).
В хроме такое поведение не наблюдается. Для Firefox пробовал в приватном просмотре, пробовал чистить все данные, без результата. Логи apache для удачного и неудачного запроса:

{ip} - developer [09/Mar/2021:16:00:55 +0100] "GET /blog-posts/ HTTP/1.1" 200 27612 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:86.0) Gecko/20100101 Firefox/86.0"
{ip} - - [09/Mar/2021:16:01:21 +0100] "GET /blog-posts/ HTTP/1.1" 401 4361 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:86.0) Gecko/20100101 Firefox/86.0"

Я читал что такое может быть если есть смешанный контент (http/https), однако в Firefox инструментах разработчика (Network) показывает одинаковый запрос для обеих вкладок (с view-source и без) и в apache конфиге есть редирект с http на https :

RewriteEngine on
RewriteCond %{SERVER_NAME} =www.{$domain} [OR]
RewriteCond %{SERVER_NAME} ={$domain}
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]

View-source привел просто для примера, т.к. постоянный результат только в данном случае, в остальных проблема возникает только периодически. Кто знает как выявить причину/исправить подскажите

Answer 1

[Vitaly Karasik]

А вы обращаетесь по HTTP или HTTPS?
Я давно с auth в апаче не работал, но редирект кажется мне единственной возможной причиной этой проблемы.
Здесь https://stackoverflow.com/questions/30947859/htacc... совет, который мне кажется разумным.

Comments

[m5xim]

По HTTPS. Попробовал предложенное решение - не помогло

Answer 2

[Stalker_RED]

Возможно какой-то ресурс подключен по http?
Попробуйте правило с редиректом http→https перенести выше авторизации. Чтобы авторизация запрашивалась только для https, а редирект происходил без нее.

Comments

[dodo512]

Попробуйте правило с редиректом http→https перенести выше авторизации.

В данном случае от перемены мест слагаемых сумма не поменяется.
mod_auth_basic всегда вызывается раньше mod_rewrite.
Выполнить редирект раньше авторизации можно если авторизацию оставить в .htaccess, а редирект перенести прямо в VirtualHost.
Т.е. настраивать редирект в панели управления хостингом.

[Stalker_RED]

dodo512, да, вы правы, просто перенос выше не поможет. Но в принципе, все можно сделать в htaccess не трогая конфиг https://stackoverflow.com/a/15940387

[m5xim]

dodo512, редирект и так в apache конфиге, а авторизация в .htaccess

[m5xim]

Stalker_RED, поробовал, не помогло. Странно еще что Chrome показывает исходный код страницы без повторного запроса авторизации, а Firefox нет