使用PHP模拟HTTP认证

如果你希望在每个脚本的基础上实现口令保护功能，那么你可以通过结合header()函数和$php_auth_user、$php_auth_pw全局变量的方法来创建一个基本认证机制。通常基于服务器的认证请求/响应过程如下：

 
1. 用户向一台web服务器请求一个文件。如果文件在一个受到保护的区域以内，服务器就在响应数据的头部内加上401（非法用户）字符串作为回应。

2.浏览器看见该响应之后弹出用户名/口令对话框。

3.用户在对话框中输入用户名和口令，然后单击“ok”把这些信息送回到服务器进行认证。

4. 如用户名及口令有效，被保护的文件将会显示给用户。该确认将在经证实的用户在保护区域内的时间里持续有效。　

一个简单的php脚本可以通过发送适当的http头以在客户机屏幕自动显示用户名/口令对话框以模拟http认证请求/响应系统。php将用户输入对话框的信息存储在$php_auth_user和$php_auth_pw变量中。通过使用这些变量，可以把不符合用户名/口令检验的列表存放到某个文本文件、数据库或者你希望的任何地方。

注意：$php_auth_user、$php_auth_pw和$php_auth_type全局变量仅当php被当作一个模块安装时才是有效的。如正使用php的cgi版本，则将仅限于使用基于htaccess认证或基于数据库的认证方式，并通过html表单让用户输入用户名和口令，然后再让php完成有效性的检查。

本例显示对两个硬件编码值的确认检查，不论用户名和口令存放在何处，这在理论上完全相同。

<?

/* 检查变量 $php_auth_user 和$php_auth_pw 的值*/

if ((!isset($php_auth_user)) || (!isset($php_auth_pw))) {

 /* 空值：发送产生显示文本框的数据头部*/

    header('www-authenticate: basic realm="my private stuff"');

    header('http/1.0 401 unauthorized');

    echo 'authorization required.';

    exit;

} else if ((isset($php_auth_user)) && (isset($php_auth_pw))){

    /* 变量值存在，检查其是否正确 */

    if (($php_auth_user != "validname") || ($php_auth_pw != "goodpassword")) {

/* 用户名输入错误或密码输入错误，发送产生显示文本框的数据头部*/

       header('www-authenticate: basic realm="my private stuff"');

       header('http/1.0 401 unauthorized');

       echo 'authorization required.';

       exit;

    } else if (($php_auth_user == "validname") || ($php_auth_pw == "goodpassword")) {

      /* 用户名及密码都正确，输出成功信息 */

       echo "<p>you're authorized!</p>";

    }

}

?>

必须提醒，当你正在使用基于文件的保护时，此方式并不能对目录提供全方位的安全保障。。这对大多数人而言是很明显的，但是，如果你的大脑在弹出对话框和保护给定目录二者之间建立一个连接，你应该对此进行进一步的考虑。。

julie meloni 是i2i interactive的技术主管，及linux和开放源代码社区的大力推动者。她撰写了很多关于php及其他技术的书籍，并成为对cnet builder.com具有长期贡献的专家。