wget 自动发送用户名密码

qingbo.blog 2012-03-04 17:27:02 累计浏览 3,463 次

本机暂存

内容概览

这篇讲的是作者在排查一个奇怪现象时，对wget命令和HTTP Basic Auth认证机制的一次深入观察。核心问题是：一个需要用户名密码才能访问的受保护URL，当服务器上的某个wget任务没有显式提供凭证时，竟然能成功访问，这看起来不合常理。

作者从这个矛盾点出发，逐步揭开了背后的原理。原来，当wget没有收到认证信息时，它会发起一个不带凭证的初始请求。服务器收到后会返回401状态码和一个`WWW-Authenticate`头部，告知客户端需要进行Basic认证。这时，wget会自动检查系统中已有的网络凭证存储（例如~/.netrc文件），如果找到了匹配该服务器地址的用户名和密码，就会自动附上，完成认证。

所以，这个看似“自动”的成功访问，实际上是wget与系统凭证管理协作的结果，而非魔法。文章不仅解释了wget的行为，也提醒开发者，当遇到认证相关的意外成功或失败时，检查系统的凭证存储是一个容易被忽略的关键步骤。

有个 Server 需要 Basic Auth 认证，但是我发现在它自己上面有一个任务会通过 wget 访问一个自己的 URL，调用的过程并没有提供用户名和密码，竟然可以成功访问！

一开始我以为是 Apache 里面配置的访问规则是对本地访问不需要认证，但是并非如此。bash alias? 也不是。加上 --debug 参数调用 wget，发现它确实在访问本机的这个域名时会加上 Authorization 这个 header, 而访问其它域名的时候则不加。

最终通过 strace 发现它会打开 $HOME/.netrc 文件，原来秘密就在里面。中间看了半天 manual，只看到它会读取 /etc/wgetrc, $HOME/.wgetrc, 没注意到还会读这个文件。我不太喜欢这种做法——谈不上安全，又不容易维护。

参考：

.netrc

wget

同分类推荐文章

等了十年的 Go 链式管道，终于来了：seq 让你像写 Scala 一样写 Go （2026-06-25 18:38:18）
Go 实验特性详解（2026-06-21 10:05:27）
amd64 微架构级别对 Go 程序性能提升多少？（2026-06-21 09:38:49）

查看更多后端文章 →

建议继续学习

Linux如何统计进程的CPU利用率（累计阅读 16,308）
我的 RHCA 之路（累计阅读 14,014）
Linux内存点滴用户进程内存空间（累计阅读 13,232）
给程序员新手的一些建议（累计阅读 13,090）
Linux 性能监控、测试、优化工具（累计阅读 13,013）
关于linux内存free的一些事情（累计阅读 12,870）
ps - 按进程消耗内存多少排序（累计阅读 12,690）
Google怎么用linux （累计阅读 12,583）
Linux Used内存到底哪里去了？（累计阅读 11,868）
find命令的一点注意事项（累计阅读 11,867）