Как бы вы внедрили аутентификацию на основе FORM без резервной базы данных?

Question

У меня есть PHP-скрипт, который запускается как CGI-программа, а заголовок HTTP Authenticate съедается и выплевывается. Поэтому я хотел бы реализовать некоторую аутентификацию на основе ФОРМ. В качестве дополнительного ограничения база данных отсутствует, поэтому данные сеанса не могут быть сохранены.

Я очень открыт, чтобы иметь главное имя пользователя и пароль. Мне просто нужно защитить приложение от злоумышленника, который не знает эти учетные данные.

Так как бы вы это реализовали?

Печенье

Я мог бы представить форму, и если она будет подтверждена, я могу отправить обратно cookie, который является хешем IP-адреса и секретным кодом. Тогда я могу предотвратить рендеринг страниц, если вещь не расшифровывается правильно. Но я понятия не имею, как реализовать это в PHP.

Answer 1

Несколько способов сделать это.

1. htaccess - ваш дескриптор веб-сервера обеспечивает защиту рассматриваемых страниц (хотя не совсем на основе форм cgi).
2. Используйте куки и какой-то алгоритм хеширования (достаточно md5) для хранения паролей в плоском файле, где каждая строка в файле - имя пользователя: passwordhash. Удостоверьтесь, что соль ваши хэши для дополнительной безопасности против радужных таблиц. (Этот метод немного наивен ... будьте очень осторожнее с безопасностью, если вы идете по этому пути)
3. использовать что-то вроде базы данных sqlite только для обработки аутентификации. Sqlite достаточно компактен и прост, поэтому может по-прежнему отвечать вашим потребностям, даже если вам не нужен бэкэнд большой базы данных.

Теоретически вы также можете хранить данные сеанса в плоском файле, даже если у вас нет базы данных.

Answer 2

Вам действительно нужна форма? Независимо от того, что вы делаете, вы ограничены тем, что имя пользователя и пароль известны. Если они знают это, они получают ваше волшебное печенье, которое позволяет им. Вы хотите запретить им видеть страницы, если они не знают секрета, и базовая авторизация делает это, проста в настройке и не требует большой работы с вашей стороны.

Вам действительно нужно видеть заголовок Авторизация, если веб-сервер позаботится о контроле доступа за вами?

Кроме того, если вы предоставляете приложение известному списку людей (а не общественности), вы можете предоставить доступ на основе веб-сервера по другим факторам, таким как входящий IP-адрес, клиентские сертификаты и многие другие вещи, которые являются вопросом конфигурации, а не программирования. Если вы объяснили свои ограничения безопасности, мы могли бы предложить лучшее решение.

Удачи,:)

Answer 3

Если вы используете Authenticate, возможно, у вас уже есть файл htpasswd . Если вы хотите продолжить использовать этот файл, но переключиться на использование аутентификации на основе FORM, а не через заголовок Authenticate, вы можете использовать PHP-скрипт, чтобы использовать тот же файл htpasswd и использовать сеансы для поддержания статуса аутентификации.

Быстрый поиск Google для php htpasswd показывает эту страницу с функцией PHP для проверки учетных данных против htpasswd. Вы можете интегрировать его (при условии, что у вас есть сеансы, настроенные на автозапуск) с таким кодом:

// At the top of your 'private' page(s):
if($_SESSION['authenticated'] !== TRUE) {
    header('Location: /login.php');
    die();
}

// the target of the POST form from login.php
if(http_authenticate($_POST['username'], $_POST['password']))
    $_SESSION['authenticated'] = TRUE;

Answer 4

... Что касается соли, добавьте имя пользователя в свою хеш-соль, что помешает тому, кто знает вашу соль и имеет доступ к вашему файлу паролей, чтобы написать радужную таблицу и взломать пароль ваших пользователей.