HTTP аутентификация скрипта index.php с помощью PHP и серверных директив

Расширенные примеры HTTP-аутентификации

Ниже представлены развёрнутые примеры с пошаговыми пояснениями и демонстрацией результатов.

Пример 1: Полный скрипт с выходом из учётной записи (logout) через URL параметр

В Basic-аутентификации трудно реализовать выход, так как браузер кеширует учётные данные. Метод: отправить заголовок с неверным realm, что заставит браузер перезапросить пароль. Однако true logout возможен только при использовании logout-токена.

// index.php
session_start();
$realm = 'Private Zone';

if (isset($_GET['logout'])) {
    $_SESSION = [];
    session_destroy();
    header('WWW-Authenticate: Basic realm="' . $realm . '"');
    header('HTTP/1.0 401 Unauthorized');
    echo 'Вы вышли из системы';
    exit;
}

if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="' . $realm . '"');
    header('HTTP/1.0 401 Unauthorized');
    echo 'Для доступа необходима аутентификация';
    exit;
} else {
    $user = $_SERVER['PHP_AUTH_USER'];
    $pass = $_SERVER['PHP_AUTH_PW'];
    // Заглушка проверки
    if ($user === 'demo' && $pass === '1234') {
        $_SESSION['logged'] = true;
        echo 'Привет, ' . htmlspecialchars($user) . '! <a href="?logout=1">Выход</a>';
    } else {
        header('HTTP/1.0 401 Unauthorized');
        echo 'Неверные учётные данные';
    }
}

Результат при правильном входе: браузер показывает страницу с приветствием и ссылкой на выход. При нажатии на ссылку параметр logout очищает сессию и снова отправляет заголовок 401, заставляя браузер запросить новые данные. Однако браузер может повторно отправить старые данные; для полного выхода требуется также очистить кеш паролей (что невозможно через PHP).

Пример 2: Аутентификация с поддержкой CGI и парсингом заголовка Authorization

Когда PHP работает через CGI (например, suPHP), переменные PHP_AUTH_USER не устанавливаются. Решение: перехватывать HTTP_AUTHORIZATION.

if (!isset($_SERVER['PHP_AUTH_USER'])) {
    if (isset($_SERVER['HTTP_AUTHORIZATION'])) {
        $auth = $_SERVER['HTTP_AUTHORIZATION'];
        if (strpos($auth, 'Basic ') === 0) {
            $decoded = base64_decode(substr($auth, 6));
            if ($decoded !== false && strpos($decoded, ':') !== false) {
                list($user, $pass) = explode(':', $decoded, 2);
                $_SERVER['PHP_AUTH_USER'] = $user;
                $_SERVER['PHP_AUTH_PW'] = $pass;
            }
        }
    }
}

if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="CGI Safe"');
    header('HTTP/1.0 401 Unauthorized');
    exit;
}
// Далее проверка $user и $pass

Результат: PHP корректно извлекает логин и пароль даже при работе через CGI. Без такого парсинга скрипт бы никогда не получил данные и постоянно отправлял 401.

Пример 3: Дайджест-аутентификация с полной обработкой (функция parseDigest)

function parseDigest($digest_str) {
    $needed_parts = array('username'=>1, 'realm'=>1, 'nonce'=>1, 'uri'=>1, 'response'=>1, 'opaque'=>1, 'qop'=>1, 'nc'=>1, 'cnonce'=>1);
    $data = array();
    $parts = explode(',', $digest_str);
    foreach ($parts as $part) {
        $part = trim($part);
        if (preg_match('/(\w+)=["\']?([^"\',]+)["\']?/', $part, $match)) {
            $key = $match[1];
            $value = $match[2];
            if (isset($needed_parts[$key])) {
                $data[$key] = $value;
            }
        }
    }
    return $data;
}

$realm = 'Digest Test';
$nonce = uniqid();

if (!isset($_SERVER['PHP_AUTH_DIGEST'])) {
    header('HTTP/1.0 401 Unauthorized');
    header('WWW-Authenticate: Digest realm="' . $realm . '", qop="auth", nonce="' . $nonce . '", opaque="' . md5($realm) . '"');
    exit;
}

$digest = parseDigest($_SERVER['PHP_AUTH_DIGEST']);
// Пример проверки: пароль 'password' для пользователя 'user'
$A1 = md5($digest['username'] . ':' . $realm . ':password');
$A2 = md5($_SERVER['REQUEST_METHOD'] . ':' . $digest['uri']);
$valid_resp = md5($A1 . ':' . $digest['nonce'] . ':' . $digest['nc'] . ':' . $digest['cnonce'] . ':' . $digest['qop'] . ':' . $A2);
if ($digest['response'] === $valid_resp) {
    echo 'Успешная дайджест-аутентификация';
} else {
    header('HTTP/1.0 401 Unauthorized');
    echo 'Неверный дайджест';
}

Результат: Браузер отправляет заголовок Authorization: Digest ..., PHP разбирает и проверяет ответ. При совпадении доступа открывается, иначе браузер снова запрашивает пароль.

Пример 4: Логирование неудачных попыток в файл

$log_file = __DIR__ . '/auth_failures.log';

function log_failure($login, $ip) {
    global $log_file;
    $entry = date('Y-m-d H:i:s') . ' | ' . $ip . ' | Login: ' . $login . PHP_EOL;
    file_put_contents($log_file, $entry, FILE_APPEND | LOCK_EX);
}

if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="Logging"');
    header('HTTP/1.0 401 Unauthorized');
    exit;
}

$login = $_SERVER['PHP_AUTH_USER'];
$pass = $_SERVER['PHP_AUTH_PW'];

if ($login !== 'admin' || $pass !== 'strongpw') {
    log_failure($login, $_SERVER['REMOTE_ADDR']);
    header('HTTP/1.0 401 Unauthorized');
    echo 'Доступ запрещён. Попытка зафиксирована.';
    exit;
}

echo 'Добро пожаловать, ' . htmlspecialchars($login);

Результат: При каждом неверном вводе данные записываются в файл auth_failures.log. Это помогает отслеживать атаки подбора паролей.