L'authentification HTTP de déconnexion via PHP

Mu. Pas de manière correcte existe, même pas une seule qui soit compatible sur tous les navigateurs.

C'est un problème qui vient de la Spécification HTTP (section 15.6):

HTTP existants les clients et les agents d'utilisateur conserve en général d'authentification
informations indéfiniment. HTTP/1.1. ne pas fournir une méthode pour un
serveur pour diriger les clients à jeter ces informations d'identification mises en cache.

D'autre part, la section 10.4.2 dit:

Si la demande déjà inclus Autorisation des informations d'identification, puis l'autoroute 401
la réponse indique que l'autorisation a été refusée pour ceux
les informations d'identification. Si la réponse 401 contient le même défi que les
avant l'intervention, et l'agent utilisateur a déjà tenté
l'authentification au moins une fois, alors l'utilisateur DOIT être présenté le
entité qui a été donné dans la réponse, puisque cette entité pourrait
inclure les informations de diagnostic.

En d'autres termes, vous pouvez être en mesure d'afficher la boîte de dialogue de connexion de nouveau (comme @Karsten dit), mais le navigateur n'est pas à l'honneur de votre demande - afin de ne pas dépendre de ce (sig)en fonction de trop.

La réponse simple est que vous ne pouvez pas fiable déconnecter de l'authentification http.

La réponse longue:

Http-auth (comme le reste de la spécification HTTP) est destiné à être apatrides. Afin d'être "connecté" ou "déconnecté" n'est pas vraiment un concept qui a du sens. La meilleure façon de le voir est de demander, pour chaque requête HTTP (et n'oubliez pas de chargement de page est généralement de plusieurs demandes), "êtes-vous autorisé à faire ce que vous demandez?". Le serveur voit chaque demande en tant que nouveau et non lié à toutes les demandes précédentes.

Navigateurs ont choisi de se rappeler les informations d'identification que vous dites sur la première 401, et ré-envoyer l'insu de l'utilisateur la permission explicite sur les demandes ultérieures. C'est une tentative de donner à l'utilisateur la "connecté/déconnecté" modèle qu'ils attendent, mais c'est purement une bidouille. C'est le navigateur c'est la simulation de cette persistance de l'état. Le serveur web est complètement ignorant de lui.

Afin de "se déconnecter", dans le contexte de http-auth est purement une simulation fournie par le navigateur, et donc en dehors de l'autorité du serveur.

Oui, il y a kludges. Mais ils cassent RESTful-ness (si c'est de la valeur pour vous) et ils ne sont pas fiables.

Si vous avez absolument besoin d'un connecté/déconnecté (e modèle pour votre site d'authentification, le meilleur pari est un cookie de suivi, avec la persistance de l'état stocké sur le serveur, d'une certaine manière (mysql, sqlite, fichier plat, etc). Cela exigera que toutes les demandes soient évaluées, par exemple, avec PHP.

Solution de contournement (pas un propre, agréable (ou même en travaillant! voir les commentaires) de la solution):

Désactiver ses identifiants qu'une seule fois.

Vous pouvez déplacer votre HTTP logique d'authentification en PHP, par l'envoi d'en-têtes appropriés (si ce n'est connecté):

Header('WWW-Authenticate: Basic realm="protected area"');
Header('HTTP/1.0 401 Unauthorized');

Et l'analyse de l'entrée avec:

$_SERVER['PHP_AUTH_USER'] //httpauth-user
$_SERVER['PHP_AUTH_PW']   //httpauth-password

Si la désactivation de ses lettres de créance un temps devrait être assez simple.

Ma solution pour le problème est le suivant. Vous pouvez trouver la fonction http_digest_parse , $realm et $users dans le deuxième exemple de cette page: http://php.net/manual/en/features.http-auth.php.

session_start();
function LogOut() {
session_destroy();
session_unset($_SESSION['session_id']);
session_unset($_SESSION['logged']);
header("Location: /", TRUE, 301);   
}
function Login(){
global $realm;
if (empty($_SESSION['session_id'])) {
session_regenerate_id();
$_SESSION['session_id'] = session_id();
}
if (!IsAuthenticated()) {  
header('HTTP/1.1 401 Unauthorized');
header('WWW-Authenticate: Digest realm="'.$realm.
'",qop="auth",nonce="'.$_SESSION['session_id'].'",opaque="'.md5($realm).'"');
$_SESSION['logged'] = False;
die('Access denied.');
}
$_SESSION['logged'] = True;  
}
function IsAuthenticated(){
global $realm;
global $users;
if  (empty($_SERVER['PHP_AUTH_DIGEST']))
return False;
//check PHP_AUTH_DIGEST
if (!($data = http_digest_parse($_SERVER['PHP_AUTH_DIGEST'])) ||
!isset($users[$data['username']]))
return False;//invalid username
$A1 = md5($data['username'] . ':' . $realm . ':' . $users[$data['username']]);
$A2 = md5($_SERVER['REQUEST_METHOD'].':'.$data['uri']);
//Give session id instead of data['nonce']
$valid_response =   md5($A1.':'.$_SESSION['session_id'].':'.$data['nc'].':'.$data['cnonce'].':'.$data['qop'].':'.$A2);
if ($data['response'] != $valid_response)
return False;
return True;
}

Trac, par défaut, utilise l'Authentification HTTP ainsi. Déconnexion ne fonctionne pas et ne peut pas être fixé:

• C'est un problème avec l'authentification HTTP régime lui-même, et il n'y a rien que nous pouvons faire dans le Trac pour le fixer correctement.
• Il n'existe actuellement aucune solution de contournement (JavaScript ou autre) qui fonctionne avec tous les principaux navigateurs.

À partir de: http://trac.edgewall.org/ticket/791#comment:103

Dirait qu'il n'y a pas de travail, de répondre à la question, que le problème a été signalé il y a sept ans et il a le sens parfait: HTTP est sans état. Une demande est faite avec les informations d'authentification ou pas. Mais c'est une question de la client l'envoi de la demande, et non pas le serveur de réception. Le serveur ne peut dire si l'URI de la requête a besoin d'une autorisation ou pas.

Ce peut-être pas la solution qui a été cherché mais je l'ai résolu comme ça.
j'ai 2 scripts pour le processus de fermeture de session.

logout.php

<?php
header("Location: http://[email protected]/log.php");
?>

log.php

<?php
header("location: https://google.com");
?>

De cette façon, je n'obtiens pas un avertissement et ma session est terminée

La meilleure solution que j'ai trouvé pour l'instant est (c'est une sorte de pseudo-code, la $isLoggedIn est de la pseudo variable pour http auth):

Au moment de la "déconnexion" juste stocker des informations pour la session en disant que l'utilisateur est déconnecté.

function logout()
{
//$isLoggedIn = false; //This does not work (point of this question)
$_SESSION['logout'] = true;
}

Dans l'endroit où je l'ai vérifier pour l'authentification-je développer la condition:

function isLoggedIn()
{
return $isLoggedIn && !$_SESSION['logout'];
}

Session est un peu liée à l'état de l'authentification http de sorte que l'utilisateur reste connecté aussi longtemps qu'il garde le navigateur est ouvert et aussi longtemps que l'authentification http persiste dans le navigateur.

Tandis que les autres ont raison de dire qu'il est impossible de déconnexion de l'authentification http de base, il existe des moyens pour mettre en œuvre l'authentification qui se comporter de la même façon. Manifestement, l'un des appeoach est d'utiliser auth_memcookie. Si vous voulez vraiment mettre en œuvre une authentification HTTP Basique (c'est à dire utiliser le navigateur boîtes de dialogue pour l'enregistrement dans trather qu'un formulaire HTTP) à l'aide de ce - il suffit de définir l'authentification à un autre .htaccess protégé répertoire contenant un script PHP qui redirige vers où te l'utilisateur est venu après createing la memcache session.

Il y a beaucoup de super - complexe - des réponses ici. Dans mon cas particulier, j'ai trouvé un endroit propre et simple correctif pour la déconnexion. Je n'ai pas encore tester en Bordure.
Sur ma page que j'ai connecté à, j'ai placé un lien de déconnexion similaire à ceci:

<a href="https://MyDomainHere.net/logout.html">logout</a>

Et dans la tête de qui logout.html page (qui est également protégé par la .htaccess) j'ai un rafraichissement de la page similaire à ceci:

<meta http-equiv="Refresh" content="0; url=https://logout:[email protected]/" />

Où vous laissez les mots "déconnexion" en place pour effacer le nom d'utilisateur et le mot de passe mis en cache pour le site.

J'avoue que si plusieurs pages nécessaires pour être en mesure d'être directement connecté à partir du début, chacun de ces points d'entrée ont besoin de leur propre correspondant logout.html page. Sinon, vous pouvez centraliser la déconnexion par l'introduction d'un supplément de gatekeeper étape dans le processus avant l'invite de connexion, nécessitant l'entrée d'une phrase, pour atteindre une destination de connexion.