PHP新手上路(七)

如果你希望在每个脚本的基础上实现口令保护功能,那么你可以通过结合header()函数和$PHP_AUTH_USER、$PHP_AUTH_PW全局变量的方法来创建一个基本认证机制。通常基于服务器的认证请求/响应过程如下:

建设一个简单交互的网站(三) 6. 密码验证
也许你想在自己的网站放上你的照片集,而且只想给自己知心的朋友看,这时你需要一个密码验证的程序。
6.1 基于HTTP验证
如何用PHP来实现密码验证的功能呢?我们可以使用简短的PHP代码,使用函数header()发送HTTP标头强制验证,客户端浏览器则弹出供输入用户名和密码的对话框。在PHP中,客户端用户输入的信息传送到服务端之后自动保存在$PHP_AUTH_USER,
$PHP_AUTH_PW, 以及
$PHP_AUTH_TYPE这三个全局变量中。利用这些变量,我们就可以根据实现保存在数据文件或数据库中的用户帐号信息验证用户身份。
不过在这里需要提醒使用者注意的一点是:只有在Apache模块方式运行的时候,PHP脚本才能使用$PHP_AUTH_USER,
$PHP_AUTH_PW, 以及
$PHP_AUTH_TYPE这三个变量。如果用户使用的是CGI模式的PHP则无法实现基于HTTP的验证功能。6.2
下面,我们就来详细介绍一下如何使用PHP对用户身份进行验证。
在下例中,我们是使用$PHP_AUTH_USER和$PHP_AUTH_PW这两个变量来验证进入者是否合法并允许进入。在本例中被允许登录的用户名称和密码对分别为tnc和nature:
? if(!isset($PHP_AUTH_USER)){ Header(“WWW-Authenticate: Basic
realm=”My Realm””); Header(“HTTP/1.0 401 Unauthorized”); echo “Text to
send if user hits Cancel buttonn”; exit; }else{ if (
!($PHP_AUTH_USER==”tnc” $PHP_AUTH_PW==”nature”) ) { //
如果是错误的用户名称/密码对,强制再验证 Header(“WWW-Authenticate: Basic
realm=”My Realm””); Header(“HTTP/1.0 401 Unauthorized”); echo “ERROR :
$PHP_AUTH_USER/$PHP_AUTH_PW is invalid.”; exit; }else{ echo “Welcome
tnc!”; } ?
事实上再实际引用中不大可能如上面使用代码段明显的用户名称/密码对,而是利用数据库或者加密的密码文件存取它们。6.3
根据指定的验证信息核实用户身份
首先,我们可以使用以下代码确定用户是否已经输入了用户名和密码,并显示出用户输入的信息。
?phpif (!isset($PHP_AUTH_USER)) { header(‘WWW-Authenticate: Basic
realm=”My Private Stuff”‘); header(‘HTTP/1.0 401 Unauthorized’); echo
‘Authorization Required.’; exit; } else { echo “PYou have entered this
username: $PHP_AUTH_USERbr You have entered this password:
$PHP_AUTH_PWbr The authorization type is: $PHP_AUTH_TYPE/p”; } ?
说明:
isset函数用于确定某个变量是否已被赋值。根据变量值是否存在,返回true或false。
header函数用于发送特定的HTTP标头。注意,使用header函数时,一定要在任何产生实际输出的HTML或PHP代码前面调用该函数。
虽然上述代码相当简单,没有根据任何实际值对用户输入的用户名和密码进行有效验证,但是至少我们了解了如何使用PHP在客户端产生输入对话框。
下面,我们就来了解一下如何根据指定的验证信息核实用户身份。代码如下:
?php if (!isset($PHP_AUTH_USER)) { header(‘WWW-Authenticate: Basic
realm=”My Private Stuff”‘); header(‘HTTP/1.0 401 Unauthorized’); echo
‘Authorization Required.’; exit; } else if (isset($PHP_AUTH_USER)) {
if (($PHP_AUTH_USER != “admin”) || ($PHP_AUTH_PW != “123”)) {
header(‘WWW-Authenticate: Basic realm=”My Private Stuff”‘);
header(‘HTTP/1.0 401 Unauthorized’); echo ‘Authorization Required.’;
exit; } else { echo “PYou’re authorized!/p”; } } ?
在这里,我们首先检查用户是否已经输入了用户名称和密码,如果没有则弹出相应对话框要求用户输入身份信息。随后,我们通过判断用户输入的信息是否符合admin/123这一指定用户帐号来授予用户访问权限或提示用户再次输入正确的信息。这种方法适用于所有用户都使用同一登录帐号的网站。6.4
另一种简易的密码验证 如果你是在windows98下面编写和运行着

1.
用户向一台Web服务器请求一个文件。如果文件在一个受到保护的区域以内,服务器就在响应数据的头部内加上401字符串作为回应。

2.浏览器看见该响应之后弹出用户名/口令对话框。

3.用户在对话框中输入用户名和口令,然后单击“OK”把这些信息送回到服务器进行认证。

4.
如用户名及口令有效,被保护的文件将会显示给用户。该确认将在经证实的用户在保护区域内的时间里持续有效。

一个简单的PHP脚本可以通过发送适当的HTTP头以在客户机屏幕自动显示用户名/口令对话框以模拟HTTP认证请求/响应系统。PHP将用户输入对话框的信息存储在$PHP_AUTH_USER和$PHP_AUTH_PW变量中。通过使用这些变量,可以把不符合用户名/口令检验的列表存放到某个文本文件、数据库或者你希望的任何地方。

注意:$PHP_AUTH_USER、$PHP_AUTH_PW和$PHP_AUTH_TYPE全局变量仅当PHP被当作一个模块安装时才是有效的。如正使用PHP的CGI版本,则将仅限于使用基于htaccess认证或基于数据库的认证方式,并通过HTML表单让用户输入用户名和口令,然后再让PHP完成有效性的检查。

本例显示对两个硬件编码值的确认检查,不论用户名和口令存放在何处,这在理论上完全相同。

/* 检查变量 $PHP_AUTH_USER 和$PHP_AUTH_PW 的值*/

if ((!isset($PHP_AUTH_USER)) || (!isset($PHP_AUTH_PW))) {

/* 空值:发送产生显示文本框的数据头部*/

header(WWW-Authenticate: Basic realm=”My Private Stuff”);

header(HTTP/1.0 401 Unauthorized);

echo Authorization Required.;

exit;

} else if ((isset($PHP_AUTH_USER)) (isset($PHP_AUTH_PW))){

/* 变量值存在,检查其是否正确 */

if (($PHP_AUTH_USER != “validname”) || ($PHP_AUTH_PW !=
“goodpassword”)) {

/* 用户名输入错误或密码输入错误,发送产生显示文本框的数据头部*/

header(WWW-Authenticate: Basic realm=”My Private Stuff”);

header(HTTP/1.0 401 Unauthorized);

echo Authorization Required.;

exit;

} else if (($PHP_AUTH_USER == “validname”) || ($PHP_AUTH_PW ==
“goodpassword”)) {

/* 用户名及密码都正确,输出成功信息 */

echo “PYoure authorized!/p”;

}

}

必须提醒,当你正在使用基于文件的保护时,此方式并不能对目录提供全方位的安全保障。。这对大多数人而言是很明显的,但是,如果你的大脑在弹出对话框和保护给定目录二者之间建立一个连接,你应该对此进行进一步的考虑。。

Julie Meloni 是i2i
Interactive的技术主管,及Linux和开放源代码社区的大力推动者。她撰写了很多关于PHP及其他技术的书籍,并成为对CNET
Builder.com具有长期贡献的专家。

You can leave a response, or trackback from your own site.

Leave a Reply

网站地图xml地图