Insomnia调用Digest认证API返回401时，需先确认WWW-Authenticate头含realm和nonce，再在Auth选项卡选Digest并填用户名密码；多请求建议用环境变量管理凭据；qop非auth或algorithm非MD5时原生不支持，需手动构造Authorization头或换工具。
如果您在Insomnia中调用需要Digest Authentication的API接口时收到401 Unauthorized响应，且服务器返回WWW-Authenticate头中包含digest参数，则说明服务端启用了摘要认证机制。以下是配置并启用Digest认证的具体操作方法：
一、确认服务端Digest认证挑战响应
Digest认证依赖服务器首次返回的WWW-Authenticate头提供必要参数（如realm、nonce、qop、algorithm等），Insomnia需据此生成合规的Authorization头。请先发送一个未带认证的请求，检查响应头中是否包含类似WWW-Authenticate: Digest realm="example.com", nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093", qop="auth", algorithm=MD5的内容。若缺失或格式异常，后续配置将无法生效。
1、在Insomnia中新建一个GET请求，URL填写目标API地址。
2、清空Auth选项卡中的所有认证设置，确保“Authentication”下拉菜单为“None”。
3、点击Send按钮，查看响应Headers区域。
4、在响应头中查找WWW-Authenticate字段，确认其值以Digest开头，并包含realm与nonce两个必需参数。
二、在请求级别配置Digest Auth
Insomnia支持在单个请求上直接启用Digest认证，适用于测试阶段或少量接口场景。该方式将认证凭据绑定至当前请求，不参与环境变量管理，便于快速验证。
1、选中已创建的请求，在右侧编辑区切换到Auth选项卡。
2、从“Authentication”下拉菜单中选择Digest。
3、在“Username”字段中输入服务端预设的用户名（如admin）。
4、在“Password”字段中输入对应明文密码（Insomnia内部会自动进行MD5哈希运算，无需手动编码）。
5、点击Send按钮，观察响应状态码是否变为200，并检查请求头中是否自动生成了Authorization: Digest username="...", realm="...", nonce="...", uri="/path", response="..."。
三、通过环境变量统一管理Digest凭据
当多个请求共用同一套Digest认证凭据时，使用环境变量可避免重复输入，并支持多环境（dev/staging/prod）切换。此方式要求环境变量在集合或工作区层级定义，且必须在请求Auth配置中显式引用。
1、点击左上角“Environments”图标，或右键当前集合选择“Set Environment”。
2、点击“Add Environment”，命名为DigestEnv，并在变量区域添加：
digest_user → 值为your_username
digest_pass → 值为your_password
3、保存环境后，回到目标请求的Auth选项卡。
4、认证类型仍选择Digest，但Username字段填写{{digest_user}}，Password字段填写{{digest_pass}}。
5、确保右上角环境选择器已切换至DigestEnv，再执行Send操作。
四、处理QOP与Algorithm兼容性问题
Insomnia原生Digest实现仅支持qop=auth和algorithm=MD5组合。若服务器返回qop=auth-int或algorithm=SHA-256，默认配置将失败。此时需手动干预请求头或降级适配。
1、若服务器返回qop="auth"但Insomnia仍认证失败，可在请求的Headers选项卡中手动添加：
Authorization → 值为Digest username="{{digest_user}}", realm="xxx", nonce="yyy", uri="/zzz", qop=auth, nc=00000001, cnonce="abc", response="def"（response需按RFC 2617规范计算）。
2、若服务器强制要求algorithm=SHA-256，则Insomnia桌面版（截至2026年5月）原生不支持，需改用cURL命令行或切换至支持SHA-256 Digest的工具（如Postman最新版）。
3、临时降级方案：联系服务端管理员，协商将algorithm回调至MD5，并确保qop字段明确为auth而非空值或auth-int。
五、调试Digest认证失败的关键日志点
Insomnia未提供Digest认证过程的详细日志输出，但可通过网络层抓包与响应头比对定位问题根源。重点验证客户端构造的Authorization头是否符合RFC 2617规范，尤其关注response字段的哈希逻辑是否与服务端一致。
1、启用Insomnia内置调试模式：在菜单栏选择View → Toggle DevTools，切换到Console标签页。
2、再次发送Digest请求，观察控制台是否出现[digest-auth] challenge received或[digest-auth] response generated日志。
3、若无日志输出，说明Insomnia未识别到WWW-Authenticate头，需检查响应头是否被代理或CDN过滤。
4、若日志显示invalid nonce或missing realm，则表明服务端返回的挑战头格式不符合预期，应重新捕获原始响应头进行比对。
