有个 Server 需要 Basic Auth 认证，但是我发现在它自己上面有一个任务会通过 wget 访问一个自己的 URL，调用的过程并没有提供用户名和密码，竟然可以成功访问！
一开始我以为是 Apache 里面配置的访问规则是对本地访问不需要认证，但是并非如此。bash alias? 也不是。加上 --debug 参数调用 wget，发现它确实在访问本机的这个域名时会加上 Authorization 这个 header, 而访问其它域名的时候则不加。
最终通过 strace 发现它会打开 $HOME/.netrc 文件，原来秘密就在里面。中间看了半天 manual，只看到它会读取 /etc/wgetrc, $HOME/.wgetrc, 没注意到还会读这个文件。我不太喜欢这种做法——谈不上安全，又不容易维护。
参考：