php基于表单密码验证与HTTP验证用法实例

这篇文章主要介绍了php基于表单密码验证与HTTP验证用法,以实例形式较为详细的分析了表单密码验证与HTTP验证的原理与相关注意事项,具有一定参考借鉴价值,需要的朋

本文实例讲述了php基于表单密码验证与HTTP验证用法。分享给大家供大家参考。具体分析如下：

PHP 的 HTTP 认证机制仅在 PHP 以 Apache 模块方式运行时才有效，因此该功能不适用于 CGI 版本。在 Apache 模块的 PHP 脚本中，可以用 header() 函数来向客户端浏览器发送“Authentication Required”信息，使其弹出一个用户名／密码输入窗口。当用户输入用户名和密码后，包含有 URL 的 PHP 脚本将会加上预定义变量 PHP_AUTH_USER ， PHP_AUTH_PW 和 AUTH_TYPE 被再次调用，，这三个变量分别被设定为用户名，密码和认证类型。预定义变量保存在 $_SERVER 或者 $HTTP_SERVER_VARS 数组中。支持“Basic”和“Digest”（自 PHP 5.1.0 起）认证方法。感兴趣的朋友可以参阅header()函数相关信息。

PHP 版本问题: Autoglobals 全局变量，包括 $_SERVER 等，自 PHP 4.1.0 起有效， $HTTP_SERVER_VARS 从 PHP 3 开始有效。

以下是在页面上强迫客户端认证的脚本范例.

例子 34-1. Basic HTTP 认证范例

复制代码 代码如下:

   if (!isset( $_SERVER [ 'PHP_AUTH_USER' ])) { 
     header ( 'WWW-Authenticate: Basic realm="My Realm"' ); 
     header ( 'HTTP/1.0 401 Unauthorized' ); 
    echo 'Text to send if user hits Cancel button' ; 
    exit;
  } else { 
    echo "

Hello { $_SERVER [ 'PHP_AUTH_USER' ]} .

" ; 
    echo "

You entered { $_SERVER [ 'PHP_AUTH_PW' ]} as your password.

" ; 
  } 
?>
例子 34-2. Digest HTTP 认证范例

本例演示怎样实现一个简单的 Digest HTTP 认证脚本,更多信息请参考 RFC 2617.

复制代码 代码如下:

$realm = 'Restricted area' ;
//user => password 
$users = array( 'admin' => 'mypass' , 'guest' => 'guest' );
 
if (!isset( $_SERVER [ 'PHP_AUTH_DIGEST' ])) { 
     header ( 'HTTP/1.1 401 Unauthorized' ); 
     header ( 'WWW-Authenticate: Digest realm="' . $realm . 
            '" qop="auth" nonce="' . uniqid (). '" opaque="' . md5 ( $realm ). '"' );
    die( 'Text to send if user hits Cancel button' ); 
}
// analize the PHP_AUTH_DIGEST variable 
preg_match ( '/username="(?P.*)",s*realm="(?P.*)",s*nonce="(?P.*)",s*uri="(?P.*)",s*response="(?P.*)",s*opaque="(?P.*)",s*qop=(?P.*),s*nc=(?P.*),s*cnonce="(?P.*)"/' , $_SERVER [ 'PHP_AUTH_DIGEST' ], $digest );
if (!isset( $users [ $digest [ 'username' ]])) 
    die( 'Username not valid!' );
 
// generate the valid response 
$A1 = md5 ( $digest [ 'username' ] . ':' . $realm . ':' . $users [ $digest [ 'username' ]]); 
$A2 = md5 ( $_SERVER [ 'REQUEST_METHOD' ]. ':' . $digest [ 'uri' ]); 
$valid_response = md5 ( $A1 . ':' . $digest [ 'nonce' ]. ':' . $digest [ 'nc' ]. ':' . $digest [ 'cnonce' ]. ':' . $digest [ 'qop' ]. ':' . $A2 );
if ( $digest [ 'response' ] != $valid_response ) 
    die( 'Wrong Credentials!' );
// ok, valid username & password 
echo 'Your are logged in as: ' . $digest [ 'username' ];
?>

兼容性问题:在编写 HTTP 标头代码时请格外小心,为了对所有的客户端保证兼容性,关键字“Basic”的第一个字母必须大写为“B”,分界字符串必须用双引号（不是单引号）引用；并且在标头行 HTTP/1.0 401 中,在 401 前必须有且仅有一个空格.

在以上例子中,仅仅只打印出了 PHP_AUTH_USER 和 PHP_AUTH_PW 的值,但在实际运用中,可能需要对用户名和密码的合法性进行检查,或许进行数据库教程的查询,或许从 dbm 文件中检索.

注意有些 Internet Explorer 浏览器本身有问题。它对标头的顺序显得似乎有点吹毛求疵。目前看来在发送 HTTP/1.0 401 之前先发送 WWW-Authenticate 标头似乎可以解决此问题。

自 PHP 4.3.0 起,为了防止有人通过编写脚本来从用传统外部机制认证的页面上获取密码,当外部认证对特定页面有效,并且 安全模式 被开启时,PHP_AUTH 变量将不会被设置,但无论如何, REMOTE_USER 可以被用来辨认外部认证的用户,因此可以用 $_SERVER['REMOTE_USER'] 变量.

配置说明:PHP 用是否有 AuthType 指令来判断外部认证机制是否有效。

注意,这仍然不能防止有人通过未认证的 URL 来从同一服务器上认证的 URL 上偷取密码.

Netscape Navigator 和 Internet Explorer 浏览器都会在收到 401 的服务端返回信息时清空所有的本地浏览器整个域的 Windows 认证缓存,这能够有效的注销一个用户,并迫使他们重新输入他们的用户名和密码,有些人用这种方法来使登录状态“过期”,或者作为“注销”按钮的响应行为.

例子 34-3.强迫重新输入用户名和密码的 HTTP 认证的范例

复制代码 代码如下:

   function authenticate () { 
     header ( 'WWW-Authenticate: Basic realm="Test Authentication System"' );
     header ( 'HTTP/1.0 401 Unauthorized' ); 
    echo "You must enter a valid login ID and password to access this resourcen" ; 
    exit; 
  }
  if (!isset( $_SERVER [ 'PHP_AUTH_USER' ]) || 
      ( $_POST [ 'SeenBefore' ] == 1 && $_POST [ 'OldAuth' ] == $_SERVER [ 'PHP_AUTH_USER' ])) { 
    authenticate (); 
  } 
  else { 
   echo "

Welcome: { $_SERVER [ 'PHP_AUTH_USER' ]}
" ; 
   echo "Old: { $_REQUEST [ 'OldAuth' ]} " ; 
   echo "

n " ; 
   echo "n" ; 
   echo " n " ; 
   echo "n" ; 
   echo "

n" ; 
  }
?>
该行为对于 HTTP 的 Basic 认证标准来说并不是必须的,因此不能依靠这种方法,对 Lynx 浏览器的测试表明 Lynx 在收到 401 的服务端返回信息时不会清空认证文件,因此只要对认证文件的检查要求没有变化,只要用户点击“后退”按钮,再点击“前进”按钮,其原有资源仍然能够被访问,不过,用户可以通过按“_”键来清空他们的认证信息.

在下例中,我们是使用$PHP_AUTH_USER和$PHP_AUTH_PW这两个变量来验证进入者是否合法并允许进入。在本例中被允许登录的用户名称和密码对分别为tnc和nature:

复制代码 代码如下: