第四十七章为 Web 应用程序实现 HTTP 身份验证

文章目录

第四十七章为 Web 应用程序实现 HTTP 身份验证
`Apache` 中的标准 `HTTP` 身份验证 (`mod_auth`)
在处理请求的同时在 `CSP` 中进行身份验证。

第四十七章为 Web 应用程序实现 HTTP 身份验证

Apache 模块（mod_csp*.so/dll 和 CSPa*[Sys].so/dll）允许 IRIS 控制 HTTP 身份验证。

Web 请求的 HTTP 身份验证通常在 Web 服务器和客户端（浏览器）之间进行。因此，通常不可能在 Web 服务器托管的自定义请求处理程序（例如 CGI 程序和基于 Web 服务器 API 的请求处理程序）中实现 HTTP 身份验证。当然，此类扩展可以发出 401 Authorization required 响应标头，并且作为响应，浏览器会显示 HTTP 登录对话框。但是，在后续请求中，Web 服务器会拦截用户的登录详细信息，并尝试使用其自己的内置功能对用户进行身份验证。在 Web 服务器根据自己的条件对用户进行身份验证之前，用户名和密码不会（至少在第一个实例中）传递到请求处理扩展。

此方案给希望在其选择的技术内本地（并以编程方式）执行 HTTP 身份验证的第三方开发技术（例如 CSP）的用户带来了问题。

这里描述的功能克服了这些技术困难，并允许用户在 IRIS 环境中对 Apache 托管的 Web 应用程序执行 HTTP 身份验证。 Apache 用户可以在以下各节中描述的三种方法之间进行选择。

`Apache` 中的标准 `HTTP` 身份验证 (`mod_auth`)

该方法是Apache提供的标准机制（通过mod_auth模块），不涉及Web Gateway。这里提到它是为了完整性。

例如，使用基于 Apache 的身份验证保护 CSP 示例所需的基本参数显示在以下配置块 (httpd.conf) 中：

<Location "/csp/samples/">AuthType BasicAuthName "CSP samples"AuthUserFile conf/csp.pwdrequire valid-user
</Location>

其中：

AuthType - AuthType 是所需的授权类型（通常是基本）。
AuthName - AuthName 是领域。
AuthUserFile - AuthUserFile 是保存用户名及其关联密码（以加密形式）的文件（相对于 Web 服务器根目录）。该文件由 Apache htpasswd 实用程序创建和维护。

require 参数列出了可以访问受保护资源的用户（本例中为 CSP 示例）。 valid-user 参数指示必须在用户名/密码文件中定义用户（如 AuthUserFile 中声明的那样）。

https://httpd.apache.org/docs/2.4/mod/mod_authz_groupfile.html#authgroupfile

在处理请求的同时在 `CSP` 中进行身份验证。

这是在 Web 应用程序中实现 HTTP 身份验证的首选（也是性能最佳）方法。

使用基于 CSP 的身份验证保护 CSP 示例所需的基本参数显示在以下 Apache 配置块 (httpd.conf) 中：

<Location "/csp/samples/"> AuthType Basic AuthName "CSP samples" require valid-user AuthCSPEnable OnAuthBasicAuthoritative Off
</Location>

参数 AuthType、AuthName 和 require 是用于触发身份验证的标准 Apache 参数。

附加的 AuthCSPEnable 参数指示 CSP 模块绕过由 Apache（在 mod_auth 中）执行的身份验证检查，并将用户名和密码以及原始 Web 请求传递到 IRIS 进行身份验证。 Web 应用程序必须使用以下 CGI 环境变量检查用户：

AUTH_TYPE：这是基本的。
REMOTE_USER：用户名。
AUTH_PASSWORD：用户的密码（纯文本）。

如果可以根据这些参数中保存的值成功对用户进行身份验证，则应用程序应继续并处理请求（即返回请求的 CSP 资源）。如果没有，它应该返回一个 HTTP 401 Authorization required 响应，该响应至少应该类似于：

HTTP/1.1 401 Authorization Required 
WWW-Authenticate: Basic realm="CSP samples" 
Content-Type: text/html 
Connection: close 
<html> 
<head><title>401 Authorization Required</title>
</head><body> <h1>Authorization Required</h1> 
<p> The server could not verify that you are authorized 
to access the application. Check your username and password. 
</p> 
<hr> 
</body> 
</html> 
```收到此消息后，浏览器将重新显示登录对话框，除非用户已用完所有登录尝试（通常为 `3` 次），在这种情况下，将显示标题后面的消息。用户可以通过修改登录页面来实现这种认证方式。如果收到请求并且用户没有运行应用程序所需的权限，则会调用登录页面，该页面的处理可以从请求中提取身份验证信息（例如 `AUTH_TYPE`、`REMOTE_USER` 和 `AUTH_PASSWORD`）。如果这些参数正确，则登录脚本可以将控制重定向到最初请求的应用程序页面。如果部署了 安全控制层，则无需对所有公共页面重复身份验证过程。