使用PHP類比HTTP認證

如果你希望在每個指令碼的基礎上實現口令保護功能，那麼你可以通過結合header()函數和$PHP_AUTH_USER、$PHP_AUTH_PW全域變數的方法來建立一個基本認證機制。通常基於伺服器的認證請求/響應過程如下：

1. 使用者向一台Web伺服器請求一個檔案。如果檔案在一個受到保護的地區以內，伺服器就在響應資料的頭部內加上401（非法使用者）字串作為回應。

2.瀏覽器看見該響應之後彈出使用者名稱/口令對話方塊。

3.使用者在對話方塊中輸入使用者名稱和口令，然後單擊“OK”把這些資訊送回到伺服器進行認證。

4. 如使用者名稱及口令有效，被保護的檔案將會顯示給使用者。該確認將在經證實的使用者在保護地區內的時間裡持續有效。　

一個簡單的PHP指令碼可以通過發送適當的HTTP頭以在客戶機螢幕自動顯示使用者名稱/口令對話方塊以類比HTTP認證請求/響應系統。PHP將使用者輸入對話方塊的資訊儲存在$PHP_AUTH_USER和$PHP_AUTH_PW變數中。通過使用這些變數，可以把不符合使用者名稱/口令檢驗的列表存放到某個文字檔、資料庫或者你希望的任何地方。

注意：$PHP_AUTH_USER、$PHP_AUTH_PW和$PHP_AUTH_TYPE全域變數僅當PHP被當作一個模組安裝時才是有效。如正使用PHP的CGI版本，則將僅限於使用基於htaccess認證或基於資料庫的認證方式，並通過HTML表單讓使用者輸入使用者名稱和口令，然後再讓PHP完成有效性的檢查。

本例顯示對兩個硬體編碼值的確認檢查，不論使用者名稱和口令存放在何處，這在理論上完全相同。

<?

/* 檢查變數 $PHP_AUTH_USER 和$PHP_AUTH_PW 的值*/

if ((!isset($PHP_AUTH_USER)) || (!isset($PHP_AUTH_PW))) {

/* 空值：發送產生顯示文字框的資料頭部*/

header('WWW-Authenticate: Basic realm="My Private Stuff"');

header('HTTP/1.0 401 Unauthorized');

echo 'Authorization Required.';

exit;

} else if ((isset($PHP_AUTH_USER)) && (isset($PHP_AUTH_PW))){

/* 變數值存在，檢查其是否正確 */

if (($PHP_AUTH_USER != "validname") || ($PHP_AUTH_PW != "goodpassword")) {

/* 使用者名稱輸入錯誤或密碼輸入錯誤，發送產生顯示文字框的資料頭部*/

header('WWW-Authenticate: Basic realm="My Private Stuff"');

header('HTTP/1.0 401 Unauthorized');

echo 'Authorization Required.';

exit;

} else if (($PHP_AUTH_USER == "validname") || ($PHP_AUTH_PW == "goodpassword")) {

/* 使用者名稱及密碼都正確，輸出成功資訊 */

echo "<P>You're authorized!</p>";

}

}

?>

必須提醒，當你正在使用基於檔案的保護時，此方式並不能對目錄提供全方位的安全保障。。這對大多數人而言是很明顯的，但是，如果你的大腦在彈出對話方塊和保護給定目錄二者之間建立一個串連，你應該對此進行進一步的考慮。。

Julie Meloni 是i2i Interactive的技術主管，及Linux和開放原始碼社區的大力推動者。她撰寫了很多關於PHP及其他技術的書籍，並成為對CNET Builder.com具有長期貢獻的專家。