PHP如何实现HTTP验证-6ren

PHP如何实现HTTP验证

转载作者：qq735679552 更新时间：2022-09-27 22:32:09

CFSDN坚持开源创造价值，我们致力于搭建一个资源共享平台，让每一个IT人在这里找到属于你的精彩世界.

这篇CFSDN的博客文章PHP如何实现HTTP验证由作者收集整理，如果你对这篇文章有兴趣，记得点赞哟.

HTTP Basic

 
    ? 
   
         if 
         (!isset( 
         $_SERVER 
         [ 
         'PHP_AUTH_USER' 
         ])) { 
        
         header( 
         'WWW-Authenticate: Basic realm="My Realm"' 
         ); 
        
         header( 
         'HTTP/1.0 401 Unauthorized' 
         ); 
        
         echo 
         'Text to send if user hits Cancel button' 
         ; 
        
         exit 
         ; 
        
         }  
         else 
         { 
        
         echo 
         "<p>Hello {$_SERVER['PHP_AUTH_USER']}.</p>" 
         ; 
        
         echo 
         "<p>You entered {$_SERVER['PHP_AUTH_PW']} as your password.</p>" 
         ; 
        
         } 
        
         // Authorization: Basic YWFhOmFhYQ== 
        
         echo 
         base64_decode 
         ( 
         'YWFhOmFhYQ==' 
         ); 
        
         // aaa:aaa 等于明文

还是直接就从代码入手，上面的代码就是最简单的一种 HTTP 认证方式，如果 $_SERVER['PHP_AUTH_USER'] 不存在，那么我们就向浏览器发送一个 401 响应头，就是告诉浏览器我们需要登录验证。当浏览器收到这个响应头时，就会弹出一个浏览器自带的验证框并要求输入用户名和密码.

当我们填写了用户名和密码后，浏览器会在请求头中带上 Authorization 字段，并且将 base64 之后的用户名和密码发送过来。同时，PHP将会分别把用户名和密码解析到_SERVER['PHP_AUTH_USER']和_SERVER['PHP_AUTH_PW'] 中.

上述这种认证方式就是最简单的 HTTP Basic 认证，可以看出，这种方式进行验证的用户名和密码其实是相当于明文传输的，因为 base64 很容易就可以反向解析出来。所以这种方式是非常不安全的。那么有没有更复杂一些的方式呢?

HTTP Digest

既然这么写了，那肯定是有更好的方式啦，那就是 HTTP Digest 方式的 HTTP 认证.

 
    ? 
   
 
     
       
       
         $realm 
         =  
         'Restricted area' 
         ; 
        

            
        
 
         //user => password 
        
 
         $users 
         =  
         array 
         ( 
         'admin' 
         =>  
         'mypass' 
         ,  
         'guest' 
         =>  
         'guest' 
         ); 
        

            
        
 
         // 指定 Digest 验证方式 
        
 
         if 
         ( 
         empty 
         ( 
         $_SERVER 
         [ 
         'PHP_AUTH_DIGEST' 
         ]) || ! 
         $_COOKIE 
         [ 
         'login' 
         ]) { 
        
 
              
         setcookie( 
         'login' 
         , 1);   
         // 退出登录条件判断 
        
 
              
         header( 
         'HTTP/1.1 401 Unauthorized' 
         ); 
        
 
              
         header( 
         'WWW-Authenticate: Digest realm="' 
         .  
         $realm 
         . 
        
 
                  
         '",qop="auth",nonce="' 
         . uniqid() .  
         '",opaque="' 
         . md5( 
         $realm 
         ) .  
         '"' 
         ); 
        
 
              
        
 
              
         // 如果用户不输入密码点了取消 
        
 
              
         die 
         ( 
         '您点了取消，无法登录' 
         ); 
        
 
              
        
 
         } 
        

            
        
 
         // 验证用户登录信息 
        
 
         if 
         (!( 
         $data 
         = http_digest_parse( 
         $_SERVER 
         [ 
         'PHP_AUTH_DIGEST' 
         ])) || 
        
 
              
         !isset( 
         $users 
         [ 
         $data 
         [ 
         'username' 
         ]])) { 
        
 
              
         die 
         ( 
         'Wrong Credentials!' 
         ); 
        
 
         } 
        

            
        
 
         // 验证登录信息 
        
 
         $A1 
         = md5( 
         $data 
         [ 
         'username' 
         ] .  
         ':' 
         .  
         $realm 
         .  
         ':' 
         .  
         $users 
         [ 
         $data 
         [ 
         'username' 
         ]]); 
        
 
         $A2 
         = md5( 
         $_SERVER 
         [ 
         'REQUEST_METHOD' 
         ] .  
         ':' 
         .  
         $data 
         [ 
         'uri' 
         ]); 
        
 
         $valid_response 
         = md5( 
         $A1 
         .  
         ':' 
         .  
         $data 
         [ 
         'nonce' 
         ] .  
         ':' 
         .  
         $data 
         [ 
         'nc' 
         ] .  
         ':' 
         .  
         $data 
         [ 
         'cnonce' 
         ] .  
         ':' 
         .  
         $data 
         [ 
         'qop' 
         ] .  
         ':' 
         .  
         $A2 
         ); 
        
 
         // $data['response'] 是浏览器客户端的加密内容 
        
 
         if 
         ( 
         $data 
         [ 
         'response' 
         ] !=  
         $valid_response 
         ) { 
        
 
              
         die 
         ( 
         'Wrong Credentials!' 
         ); 
        
 
         } 
        

            
        
 
         // 用户名密码验证成功 
        
 
         echo 
         '您的登录用户为: ' 
         .  
         $data 
         [ 
         'username' 
         ]; 
        
 
         setcookie( 
         "login" 
         , 2); 
        

            
        
 
         // Authorization: Digest username="guest", realm="Restricted area", nonce="5e815bcbb4eba", uri="/", response="9286ea8d0fac79d3a95fff3e442d6d79", opaque="cdce8a5c95a1427d74df7acbf41c9ce0", qop=auth, nc=00000002, cnonce="a42e137359673851" 
        
 
         // 服务器回复报文中的nonce值，加上username，password, http method, http uri利用MD5（或者服务器指定的其他算法）计算出request-digest，作为repsonse头域的值 
        

            
        

            
        
 
         // 获取登录信息 
        
 
         function 
         http_digest_parse( 
         $txt 
         ) 
        
 
         { 
        
 
              
         // echo $txt; 
        
 
              
         // protect against missing data 
        
 
              
         $needed_parts 
         =  
         array 
         ( 
         'nonce' 
         => 1,  
         'nc' 
         => 1,  
         'cnonce' 
         => 1,  
         'qop' 
         => 1,  
         'username' 
         => 1,  
         'uri' 
         => 1,  
         'response' 
         => 1); 
        
 
              
         $data 
         =  
         array 
         (); 
        
 
              
         $keys 
         = implode( 
         '|' 
         ,  
         array_keys 
         ( 
         $needed_parts 
         )); 
        

            
        
 
              
         preg_match_all( 
         '@(' 
         .  
         $keys 
         .  
         ')=(?:([\'"])([^\2]+?)\2|([^\s,]+))@' 
         ,  
         $txt 
         ,  
         $matches 
         , PREG_SET_ORDER); 
        

            
        
 
              
         foreach 
         ( 
         $matches 
         as 
         $m 
         ) { 
        
 
                  
         $data 
         [ 
         $m 
         [1]] =  
         $m 
         [3] ?  
         $m 
         [3] :  
         $m 
         [4]; 
        
 
                  
         unset( 
         $needed_parts 
         [ 
         $m 
         [1]]); 
        
 
              
         } 
        

            
        
 
              
         return 
         $needed_parts 
         ? false :  
         $data 
         ; 
        
 
         } 
        

            
        
 
         if 
         ( 
         $_GET 
         [ 
         'logout' 
         ]){ 
        

            
        
 
              
         setcookie( 
         "login" 
         , 0); 
        
 
              
         header( 
         "Location: /" 
         ); 
        
 
         } 
        
 
     
 
   

从代码量就可以看出这种方式复杂了很多。首先是我们一样需要在未登录的情况下返回 401 响应头，告诉浏览器我们要进行 Digest 认证。这里 header 信息就有不一样的地方了，格式是 Digest ，内容也比 Basic 多了许多，这些多出来的内容都是我们在验证认证内容的时候需要用到的.

接着，浏览器一样是会弹出输入用户名和密码的弹窗。然后将加密后的用户名和密码信息提交上来。我们可以看到返回值里有明文的 username ，但是没有明文的密码了。其实密码是通过 username 、密码、 nonce 、 nc 、 cnoce 、cop 、$_SERVER['REQUEST_METHOD'] 、 uri 等这些内容进行 md5 加密后生成的，放在了 response 字段中提交了上来。我们也需要按照同样的规则获得加密后的密码进行比对就可以判定用户名和密码正确从而让用户完成正常的登录流程.

在这段代码中，我们加入了一个 cookie ，是为了做退出登录的判断使用的。因为 HTTP 认证这种形式的过期时间是以浏览器为基准的。也就是如果客户端关闭了浏览器，则客户端浏览器内存中保存的用户名和密码才会消失。这种情况下我们只能通过 cookie 来进行退出登录的操作，如果用户退出登录了就改变这个 cookie 的内容并重新发送 401 响应头给浏览要求重新登录.

总结

HTTP 验证的这种操作一般不会做为我们日常开发中的正常登录功能，大部分情况下，我们会给后台或者一些特殊的管理工具加上一层这种 HTTP 认证来实现双重的认证，也就是为了保障后台的数据安全。比如，我会在我的 phpMyAdmin 上增加一层这个认证。另外，HTTP 认证也可以直接在 Nginx 或 Apache 中直接配置，不需要走到 PHP 这一层来，这个我们将来学习 Nginx 的时候会再做说明.

测试代码： github.com/zhangyue050… 。

以上就是PHP如何实现HTTP验证的详细内容，更多关于PHP HTTP验证的资料请关注我其它相关文章！。

原文链接：https://juejin.cn/post/6945257392342827022 。

最后此篇关于PHP如何实现HTTP验证的文章就讲到这里了,如果你想了解更多关于PHP如何实现HTTP验证的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！。

文章推荐： Mybatis注解开发单表、多表操作的实现代码

文章推荐： PHP中断言函数的使用详解

文章推荐：小清新动漫唯美意境的女生卡通头像你到底要遇到多少人才知道我是最好的

文章推荐： @RequestParam使用defaultValue属性设置默认值的操作

java - 自定义 JPA 实现//现有的无 SQL JPA 实现
背景: 我最近一直在使用 JPA，我为相当大的关系数据库项目生成持久层的轻松程度给我留下了深刻的印象。我们公司使用大量非 SQL 数据库，特别是面向列的数据库。我对可能对这些数据库使用 JPA 有一
java - 未由 S3FileSystem FileSystem 实现 Hadoop Jar 实现
我已经在我的 maven pom 中添加了这些构建配置，因为我希望将 Apache Solr 依赖项与 Jar 捆绑在一起。否则我得到了 SolarServerException: ClassNotF
c# - 实现 "Inherit"(实现)通用接口(interface)的接口(interface)？
interface ITurtle { void Fight(); void EatPizza(); } interface ILeonardo : ITurtle {
java - 任何 JPA 实现(或更广泛的 Java ORM 实现)是否支持可更新游标
我希望可用于 Java 的对象/关系映射 (ORM) 工具之一能够满足这些要求: 使用 JPA 或 native SQL 查询获取大量行并将其作为实体对象返回。允许在行(实体)中进行迭代，并在对当前
generics - 如果我为 B 实现 From ，是否也会为 Vec 实现 From>？
好像没有，因为我有实现From for 的代码, 我可以转换 A到 B与 .into() , 但同样的事情不适用于 Vec .into()一个Vec . 要么我搞砸了阻止实现派生的事情，要么这不应该发

c# - 在 C# 中，如果 A 实现 IX 并且 B 继承自 A ，是否必然遵循 B 实现 IX？
在 C# 中，如果 A 实现 IX 并且 B 继承自 A ，是否必然遵循 B 实现 IX？如果是，是因为 LSP 吗？之间有什么区别吗: 1. Interface IX; Class A : IX;

OpenVG 实现？
就目前而言，这个问题不适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the

performance - 实现 (^)
我正在阅读标准haskell库的(^)的实现代码: (^) :: (Num a, Integral b) => a -> b -> a x0 ^ y0 | y0 a -> b ->a expo x0

博弈树的C++实现
我将把国际象棋游戏表示为 C++ 结构。我认为，最好的选择是树结构(因为在每个深度我们都有几个可能的移动)。这是一个好的方法吗？ struct TreeElement{ SomeMoveType

字符串匹配alg的c++实现
我正在为用户名数据库实现字符串匹配算法。我的方法采用现有的用户名数据库和用户想要的新用户名，然后检查用户名是否已被占用。如果采用该方法，则该方法应该返回带有数据库中未采用的数字的用户名。例子: “贾

图算法的C++实现
我正在尝试实现 Breadth-first search algorithm , 为了找到两个顶点之间的最短距离。我开发了一个 Queue 对象来保存和检索对象，并且我有一个二维数组来保存两个给定顶点

Python A* 实现
我目前正在 ika 中开发我的 Python 游戏，它使用 python 2.5 我决定为 AI 使用 A* 寻路。然而，我发现它对我的需要来说太慢了(3-4 个敌人可能会落后于游戏，但我想供应 4-

DHT的C++实现
我正在寻找 Kademlia 的开源实现C/C++ 中的分布式哈希表。它必须是轻量级和跨平台的(win/linux/mac)。它必须能够将信息发布到 DHT 并检索它。最佳答案 OpenDHT是

C++实现
我在一本书中读到这一行:-“当我们要求 C++ 实现运行程序时，它会通过调用此函数来实现。” 而且我想知道“C++ 实现”是什么意思或具体是什么。帮忙!？最佳答案 “C++ 实现”是指编译器加上链接

背包分支定界的C++实现
我正在尝试使用分支定界的 C++ 实现这个背包问题。此网站上有一个 Java 版本:Implementing branch and bound for knapsack 我试图让我的 C++ 版本打印

FNV哈希的C#实现
在很多情况下，我需要在 C# 中访问合适的哈希算法，从重写 GetHashCode 到对数据执行快速比较/查找。我发现 FNV 哈希是一种非常简单/好/快速的哈希算法。但是，我从未见过 C# 实现的

LRU缓存替换策略及C#实现
目录 LRU缓存替换策略核心思想不适用场景算法基本实现算法优化

大角度非迭代的空间坐标旋转C#实现
1. 绪论在前面文章中提到空间直角坐标系相互转换，测绘坐标转换时，一般涉及到的情况是：两个直角坐标系的小角度转换。这个就是我们经常在测绘数据处理中，WGS-84坐标系、54北京坐标系

实现.Net7下的数据库定时检查
在软件开发过程中，有时候我们需要定时地检查数据库中的数据，并在发现新增数据时触发一个动作。为了实现这个需求，我们在 .Net 7 下进行一次简单的演示. PeriodicTimer .

查找算法之二分查找的C++实现
二分查找二分查找算法，说白了就是在有序的数组里面给予一个存在数组里面的值key，然后将其先和数组中间的比较，如果key大于中间值，进行下一次mid后面的比较，直到找到相等的，就可以得到它的位置。

qq735679552

个人简介
我是一名优秀的程序员,十分优秀！

作者热门文章

ubuntu12.04环境下使用kvm ioctl接口实现最简单的虚拟机

Ubuntu 通过无线网络安装Ubuntu Server启动系统后连接无线网络的方法

在Ubuntu上搭建网桥的方法

ubuntu 虚拟机上网方式及相关配置详解

滴滴打车优惠券免费领取

全站热门文章

鸿蒙NEXT开发案例：转盘

用Java实现samza转换成flink

利用Screen保持VSCode连接远程任务持续运行

Borůvka算法

汉文博士词典编译配置文件概述

openEuler搭建k8s(1.28.2版本)

Nuxt.js应用中的listen事件钩子详解

vue通过ollama接口调用开源模型

SpringMVC学习笔记

DDCA——缓存(Cache)：缓存体系结构、缓存操作

首页

博学

6Ren·AI

商城