hi,

AFAIR gibt es keine Richtlinie, die einem Browser vorschreibt, wie oft er
nach einem Passwort bei HTTP Basic Authentification fragen soll.

Ja, es gibt nur eine Empfehlung in RFC 2617:

A client SHOULD assume that all paths at or deeper than the depth of
   the last symbolic element in the path field of the Request-URI also
   are within the protection space specified by the Basic realm value of
   the current challenge. A client MAY preemptively send the
   corresponding Authorization header with requests for resources in
   that space without receipt of another challenge from the server.

dieser part wiederum bezieht sich in keinster weise auf den umstand, ob der client den _user_ wiederholt nach dem passwort fragen sollte, sondern lediglich auf den, ob er dem _server_ beim anfordern einer weiteren ressource in/unterhalb des vorherigen pfades schon gleich "in vorauseilendem gehorsam" die auth-daten wieder im request mitteilen soll, ohne eine abermalige vorherige aufforderung hierzu abzuwarten.

gruß,
wahsaga