第四十七章 为 Web 应用程序实现 HTTP 身份验证

文章目录

  • [第四十七章 为 Web 应用程序实现 HTTP 身份验证](#第四十七章 为 Web 应用程序实现 HTTP 身份验证)
  • [`Apache` 中的标准 `HTTP` 身份验证 (`mod_auth`)](#Apache 中的标准 HTTP 身份验证 (mod_auth))
  • [在处理请求的同时在 `CSP` 中进行身份验证。](#在处理请求的同时在 CSP 中进行身份验证。)

第四十七章 为 Web 应用程序实现 HTTP 身份验证

Apache 模块(mod_csp*.so/dllCSPa*[Sys].so/dll)允许 IRIS 控制 HTTP 身份验证。

Web 请求的 HTTP 身份验证通常在 Web 服务器和客户端(浏览器)之间进行。因此,通常不可能在 Web 服务器托管的自定义请求处理程序(例如 CGI 程序和基于 Web 服务器 API 的请求处理程序)中实现 HTTP 身份验证。当然,此类扩展可以发出 401 Authorization required 响应标头,并且作为响应,浏览器会显示 HTTP 登录对话框。但是,在后续请求中,Web 服务器会拦截用户的登录详细信息,并尝试使用其自己的内置功能对用户进行身份验证。在 Web 服务器根据自己的条件对用户进行身份验证之前,用户名和密码不会(至少在第一个实例中)传递到请求处理扩展。

此方案给希望在其选择的技术内本地(并以编程方式)执行 HTTP 身份验证的第三方开发技术(例如 CSP)的用户带来了问题。

这里描述的功能克服了这些技术困难,并允许用户在 IRIS 环境中对 Apache 托管的 Web 应用程序执行 HTTP 身份验证。 Apache 用户可以在以下各节中描述的三种方法之间进行选择。

Apache 中的标准 HTTP 身份验证 (mod_auth)

该方法是Apache提供的标准机制(通过mod_auth模块),不涉及Web Gateway。这里提到它是为了完整性。

例如,使用基于 Apache 的身份验证保护 CSP 示例所需的基本参数显示在以下配置块 (httpd.conf) 中:

<Location "/csp/samples/">
    AuthType Basic
    AuthName "CSP samples"
    AuthUserFile conf/csp.pwd
    require valid-user
</Location>

其中:

  • AuthType - AuthType 是所需的授权类型(通常是基本)。
  • AuthName - AuthName 是领域。
  • AuthUserFile - AuthUserFile 是保存用户名及其关联密码(以加密形式)的文件(相对于 Web 服务器根目录)。该文件由 Apache htpasswd 实用程序创建和维护。

require 参数列出了可以访问受保护资源的用户(本例中为 CSP 示例)。 valid-user 参数指示必须在用户名/密码文件中定义用户(如 AuthUserFile 中声明的那样)。

java 复制代码
https://httpd.apache.org/docs/2.4/mod/mod_authz_groupfile.html#authgroupfile

在处理请求的同时在 CSP 中进行身份验证。

这是在 Web 应用程序中实现 HTTP 身份验证的首选(也是性能最佳)方法。

使用基于 CSP 的身份验证保护 CSP 示例所需的基本参数显示在以下 Apache 配置块 (httpd.conf) 中:

xml 复制代码
<Location "/csp/samples/"> 
    AuthType Basic 
    AuthName "CSP samples" 
    require valid-user 
    AuthCSPEnable On
    AuthBasicAuthoritative Off
</Location> 

参数 AuthTypeAuthNamerequire 是用于触发身份验证的标准 Apache 参数。

附加的 AuthCSPEnable 参数指示 CSP 模块绕过由 Apache(在 mod_auth 中)执行的身份验证检查,并将用户名和密码以及原始 Web 请求传递到 IRIS 进行身份验证。 Web 应用程序必须使用以下 CGI 环境变量检查用户:

  • AUTH_TYPE:这是基本的。
  • REMOTE_USER:用户名。
  • AUTH_PASSWORD:用户的密码(纯文本)。

如果可以根据这些参数中保存的值成功对用户进行身份验证,则应用程序应继续并处理请求(即返回请求的 CSP 资源)。如果没有,它应该返回一个 HTTP 401 Authorization required 响应,该响应至少应该类似于:

xml 复制代码
HTTP/1.1 401 Authorization Required 
WWW-Authenticate: Basic realm="CSP samples" 
Content-Type: text/html 
Connection: close 
<html> 
<head><title>401 Authorization Required</title>
</head><body> <h1>Authorization Required</h1> 
<p> The server could not verify that you are authorized 
to access the application. Check your username and password. 
</p> 
<hr> 
</body> 
</html> 
```

收到此消息后,浏览器将重新显示登录对话框,除非用户已用完所有登录尝试(通常为 `3` 次),在这种情况下,将显示标题后面的消息。

用户可以通过修改登录页面来实现这种认证方式。如果收到请求并且用户没有运行应用程序所需的权限,则会调用登录页面,该页面的处理可以从请求中提取身份验证信息(例如 `AUTH_TYPE`、`REMOTE_USER` 和 `AUTH_PASSWORD`)。如果这些参数正确,则登录脚本可以将控制重定向到最初请求的应用程序页面。如果部署了 安全控制层,则无需对所有公共页面重复身份验证过程。
相关推荐
理想不理想v2 分钟前
vue种ref跟reactive的区别?
前端·javascript·vue.js·webpack·前端框架·node.js·ecmascript
知孤云出岫2 分钟前
web 渗透学习指南——初学者防入狱篇
前端·网络安全·渗透·web
贩卖纯净水.8 分钟前
Chrome调试工具(查看CSS属性)
前端·chrome
栈老师不回家1 小时前
Vue 计算属性和监听器
前端·javascript·vue.js
前端啊龙1 小时前
用vue3封装丶高仿element-plus里面的日期联级选择器,日期选择器
前端·javascript·vue.js
一颗松鼠1 小时前
JavaScript 闭包是什么?简单到看完就理解!
开发语言·前端·javascript·ecmascript
小远yyds1 小时前
前端Web用户 token 持久化
开发语言·前端·javascript·vue.js
吕彬-前端2 小时前
使用vite+react+ts+Ant Design开发后台管理项目(五)
前端·javascript·react.js
学前端的小朱2 小时前
Redux的简介及其在React中的应用
前端·javascript·react.js·redux·store
guai_guai_guai3 小时前
uniapp
前端·javascript·vue.js·uni-app