使用PHP模拟HTTP认证

　假如你希望在每个脚本的基础上实现口令保护功能，那么你可以通过结合header()函数和$PHP_AUTH_USER、$PHP_AUTH_PW全局变量的方法来创建一个基本认证机制。通常基于服务器的认证请求/响应过程如下：

　　1. 用户向一台Web服务器请求一个文件。假如文件在一个受到保护的区域以内，服务器就在响应数据的头部内加上401（非法用户）字符串作为回应。

　　2.浏览器看见该响应之后弹出用户名/口令对话框。

　　3.用户在对话框中输入用户名和口令，然后单击“OK”把这些信息送回到服务器进行认证。

　　4. 如用户名及口令有效，被保护的文件将会显示给用户。该确认将在经证实的用户在保护区域内的时间里持续有效。　

　　一个简单的PHP脚本可以通过发送适当的HTTP头以在客户机屏幕自动显示用户名/口令对话框以模拟HTTP认证请求/响应系统。PHP将用户输入对话框的信息存储在$PHP_AUTH_USER和$PHP_AUTH_PW变量中。通过使用这些变量，可以把不符合用户名/口令检验的列表存放到某个文本文件、数据库或者你希望的任何地方。

　　注重：$PHP_AUTH_USER、$PHP_AUTH_PW和$PHP_AUTH_TYPE全局变量仅当PHP被当作一个模块安装时才是有效的。如正使用PHP的CGI版本，则将仅限于使用基于htaccess认证或基于数据库的认证方式，并通过HTML表单让用户输入用户名和口令，然后再让PHP完成有效性的检查。

　　本例显示对两个硬件编码值的确认检查，不论用户名和口令存放在何处，这在理论上完全相同。

<?

/* 检查变量 $PHP_AUTH_USER 和$PHP_AUTH_PW 的值*/

if ((!isset($PHP_AUTH_USER)) || (!isset($PHP_AUTH_PW))) {

/* 空值：发送产生显示文本框的数据头部*/

header('WWW-Authenticate: Basic realm="My Private Stuff"');

header('HTTP/1.0 401 Unauthorized');

echo 'Authorization Required.';

exit;

} else if ((isset($PHP_AUTH_USER)) && (isset($PHP_AUTH_PW))){

/* 变量值存在，检查其是否正确 */

if (($PHP_AUTH_USER != "validname") || ($PHP_AUTH_PW != "goodpassword")) {

/* 用户名输入错误或密码输入错误，发送产生显示文本框的数据头部*/

header('WWW-Authenticate: Basic realm="My Private Stuff"');

header('HTTP/1.0 401 Unauthorized');

echo 'Authorization Required.';

exit;

} else if (($PHP_AUTH_USER == "validname") || ($PHP_AUTH_PW == "goodpassword")) {

/* 用户名及密码都正确，输出成功信息 */

echo "<P>You're authorized!</p>";

}

}

?>

必须提醒，当你正在使用基于文件的保护时，此方式并不能对目录提供全方位的安全保障。。这对大多数人而言是很明显的，但是，假如你的大脑在弹出对话框和保护给定目录二者之间建立一个连接，你应该对此进行进一步的考虑。

<?php
/*
*lock_thisfile：获得独享锁
*@param $tmpFileStr 用来作为共享锁文件的文件名（可以随便起一个名字）
*@param $locktype 锁类型，缺省为false(非阻塞型，也就是一旦加锁失败则直接返回false),设置为true则会一直等待加锁成功才返回
*@return 假如加锁成功，则返回锁实例(当使用unlock_thisfile方法的时候需要这个参数)，加锁失败则返回false.
*/
function lock_thisfile($tmpFileStr,$locktype=false){
if($locktype == false)
$locktype = LOCK_EX|LOCK_NB;
$can_write = 0;
$lockfp = @fopen($tmpFileStr.".lock","w");
if($lockfp){
$can_write = @flock($lockfp,$locktype);
}
if($can_write){
return $lockfp;
}
else{
if($lockfp){
@fclose($lockfp);
@unlink($tmpFileStr.".lock");
}
return false;
}
}

/**
*unlock_thisfile：对先前取得的锁实例进行解锁
*@param $fp lock_thisfile方法的返回值
*@param $tmpFileStr 用来作为共享锁文件的文件名（可以随便起一个名字）
*/
function unlock_thisfile($fp,$tmpFileStr){
@flock($fp,LOCK_UN);
@fclose($fp);
@fclose($fp);
@unlink($tmpFileStr.".lock");
}
?>

<?php
// 使用举例
$tmpFileStr = "/tmp/mylock.loc";

// 等待取得操作权限,假如要立即返回则把第二个参数设为false.
$lockhandle = lock_thisfile($tmpFileStr,true);
if($lockhandle){
// 在这里进行所有需要独占的事务处理。
// ... ...
// 事务处理完毕。
unlock_thisfile($lockhandle,$tmpFileStr);
}

?>

产生随机字串，可用来自动生成密码。
特点：
1. 可以指定密码包含数字或字符，默认为混和模式
2. 指定随意密码长度，默认长度为6位

代码如下：
#-------------------------------------------
# 产生随机字串，可用来自动生成密码
# 默认长度6位 字母和数字混合
# $format ALL NUMBER CHAR 字串组成格式
#-------------------------------------------
function randStr($len=6,$format='ALL') {
switch($format) {
case 'ALL':
$chars='ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789-@#~'; break;
case 'CHAR':
$chars='ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz-@#~'; break;
case 'NUMBER':
$chars='0123456789'; break;
default :
$chars='ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789-@#~';
break;
}
mt_srand((double)microtime()*1000000*getmypid());
$password="";
while(strlen($password)<$len)
$password.=substr($chars,(mt_rand()%strlen($chars)),1);
return $password;
}

在PHP4.0中加入了对Session的支持，方便了我们很多程序，比如购物车等等！
在很多论坛中，Session也用于处理用户的登陆，记录下用户名和密码，使得用户不必每次都输入自己的用户名和密码！但是一般的Session的生命期有限，假如用户关闭了浏览器，就不能保存Session的变量了！那么怎么样可以实现Session的永久生命期呢？
大家知道，Session储存在服务器端，根据客户端提供的SessionID来得到这个用户的文件，然后读取文件，取得变量的值，SessionID可以使用客户端的Cookie或者Http1.1协议的Query_String（就是访问的URL的“?”后面的部分）来传送给服务器，然后服务器读取Session的目录……

要实现Session的永久生命期，首先需要了解一下php.ini关于Session的相关设置（打开php.ini文件，在“[Session]”部分）：
1、session.use_cookies：默认的值是“1”，代表SessionID使用Cookie来传递，反之就是使用Query_String来传递；
2、session.name：这个就是SessionID储存的变量名称，可能是Cookie，也可能是Query_String来传递，默认值是“PHPSESSID”；
3、session.cookie_lifetime：这个代表SessionID在客户端Cookie储存的时间，默认是0，代表浏览器一关闭SessionID就作废……就是因为这个所以Session不能永久使用！
4、session.gc_maxlifetime：这个是Session数据在服务器端储存的时间，假如超过这个时间，那么Session数据就自动删除！
还有很多的设置，不过和本文相关的就是这些了，下面开始讲使用永久Session的原理和步骤。

前面说过，服务器通过SessionID来读取Session的数据，但是一般浏览器传送的SessionID在浏览器关闭后就没有了，那么我们只需要人为的设置SessionID并且保存下来，不就可以……
假如你拥有服务器的操作权限，那么设置这个非常非常的简单，只是需要进行如下的步骤：
1、把“session.use_cookies”设置为1，打开Cookie储存SessionID，不过默认就是1，一般不用修改；
2、把“session.cookie_lifetime”改为正无穷（当然没有正无穷的参数，不过999999999和正无穷也没有什么区别）;
3、把“session.gc_maxlifetime”设置为和“session.cookie_lifetime”一样的时间；
设置完毕后，打开编辑器，输入如下的代码：
------------------------------------------------------------------------------------

session_start();
session_register('count');
$count ;
echo $count;
?>
------------------------------------------------------------------------------------
然后保存为“session_check.php”，用浏览器打开“session_check.php”，看看显示的是不是“1”，再关闭浏览器，然后再打开浏览器访问“session_check.php”，假如显示“2”，那么恭喜了，你已经成功；假如失败的话，请检查你前面的设置。

但是假如你没有服务器的操作权限，那就比较麻烦了，你需要通过PHP程序改写SessionID来实现永久的Session数据保存。查查php.net的函数手册，可以见到有“session_id”这个函数：假如没有设置参数，那么将返回当前的SessionID，假如设置了参数，就会将当前的SessionID设置为给出的值……
只要利用永久性的Cookie加上“session_id”函数，就可以实现永久Session数据保存了！
但是为了方便，我们需要知道服务器设置的“session.name”，但是一般用户都没有权限查看服务器的php.ini设置，不过PHP提供了一个非常好的函数“phpinfo”，利用这个可以查看几乎所有的PHP信息！
------------------------------------------------------------------------------------


------------------------------------------------------------------------------------
打开编辑器，输入上面的代码，然后在浏览器中运行这个程序，会见到PHP的相关信息（如图1所示）。其中有一项“session.name”的参数（图中已经标出），这个就是我们需要的服务器“session.name”，一般是“PHPSESSID”。
记下了SessionID的名称后，我们就可以实现永久的Session数据储存了！
打开编辑器，输入下面的代码：
------------------------------------------------------------------------------------

session_start(); // 启动Session
session_register('count'); // 注册Session变量Count
if(isset($PHPSESSID)) {
session_id($PHPSESSID);
} // 假如设置了$PHPSESSID，就将SessionID赋值为$PHPSESSID，否则生成SessionID
$PHPSESSID = session_id(); // 取得当前的SessionID
$count ; // 变量count加1
setcookie('PHPSESSID', $PHPSESSID, time() 3156000); // 储存SessionID到Cookie中
echo $count; // 显示Session变量count的值
?>
------------------------------------------------------------------------------------

保存之后，利用和刚才拥有服务器权限时候的检测一样的方法，检测是否成功的保存了SessionID。


后记：
其实真正的永久储存是不可能的，因为Cookie的保存时间有限，而服务器的空间也有限……但是对于一些需要保存时间比较长的站点，以上方法就已经足够了！关于Session的其他应用，可以参见zphp.com的文章。
最后，笔者的调试环境：Windows98DigExt(SE) Apache PHP 4.04。

1、防止跳出web目录


首先修改httpd.conf，假如你只答应你的php脚本程序在web目录里操作，还可以修改httpd.conf文件限制php的操作路径。比如你的web目录是/usr/local/apache/htdocs，那么在httpd.conf里加上这么几行：


php_admin_value open_basedir /usr/local/apache/htdocs


这样，假如脚本要读取/usr/local/apache/htdocs以外的文件将不会被答应，假如错误显示打开的话会提示这样的错误：


Warning: open_basedir restriction in effect. File is in wrong directory in /usr/local/apache/htdocs/open.php on line 4 等等。


2、防止php木马执行webshell


打开safe_mode，


在，php.ini中设置


disable_functions= passthru，exec，shell_exec，system


二者选一即可，也可都选


3、防止php木马读写文件目录


在php.ini中的


disable_functions= passthru，exec，shell_exec，system


后面加上php处理文件的函数


主要有