我问的是为什么不在用户操作前先校验身份，而要等用户填完了form才想起要校验身份

这跟用什么协议没关系，是你work flow设计的问题

另外，你这个api a和api b是谁来调，难道是浏览器？那跟form又有什么关系

如果是处理form的服务端，那又怎么会弹登录框

你还是先把条理理清楚，说不清楚就画图

【 在 ideaful (Drune) 的大作中提到: 】
: 系统需要提供api a和 api b（都需要authentication,使用同一套authentication mechanism，但部署时可能使用不同的domain)，同时还要提供web gui.
: web gui会有登录页面，登录之后，可能会call api a, api b，这时需要借助用户的验证信息，否则就会弹出登陆框，或者登录页面。
: 目前使用的是basic authentication,考虑将来换成其他安全的方式，那时不知道还有没有什么办法在程序中控制登录？如果不行，就要考虑在server端支持sso了。
--
FROM 114.241.176.*