http-auth.xml

<?xml version="1.0" encoding="utf-8"?>
<!-- $Revision$ -->
<!-- EN-Revision: bdf9a4e40204c805f2c2a5c94c2f2f8f5556195a Maintainer: hirokawa Status: ready -->
<!-- CREDITS: shimooka,takagi,mumumu -->
 <chapter xml:id="features.http-auth" xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink">
  <title>PHP による HTTP 認証</title>

  <simpara>
   <function>header</function> 関数を使うと、
   <literal>"Authentication Required"</literal>
   メッセージをクライアントブラウザに送ることができます。
   これにより、クライアントブラウザではユーザー名とパスワードの入力要求
   ウインドウがポップアップ表示されます。一度、ユーザーがユーザー名と
   パスワードを入力すると、PHP スクリプトを含むその URL は、次回以降、
   <link linkend="reserved.variables">定義済みの変数</link>
   <varname>PHP_AUTH_USER</varname> と、 <varname>PHP_AUTH_PW</varname> と、
   <varname>PHP_AUTH_TYPE</varname> にそれぞれユーザー名、
   パスワード、認証型が代入された状態で呼ばれます。
   定義済みの変数は、配列
   <varname>$_SERVER</varname> でアクセス可能です。
   "Basic" 認証 <emphasis>のみ</emphasis> がサポートされています。詳細は、
   <function>header</function>を参照ください。
  </simpara>

  <para>
   ページ上でクライアント認証を強制するスクリプトの例を以下に示します。
   <example>
    <title>Basic HTTP 認証の例</title>
    <programlisting role="php">
<![CDATA[
<?php
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header("WWW-Authenticate: Basic realm=\"My Realm\"");
    header("HTTP/1.0 401 Unauthorized");
    echo "ユーザーがキャンセルボタンを押した時に送信されるテキスト\n";
    exit;
} else {
    echo "<p>こんにちは、{$_SERVER['PHP_AUTH_USER']} さん。</p>";
    echo "<p>あなたは、{$_SERVER['PHP_AUTH_PW']} をパスワードとして入力しました。</p>";
}
?>
]]>
    </programlisting>
   </example>
  </para>

  <note>
   <title>互換性に関する注意</title>
   <para>
    HTTPヘッダ行をコーディングする際には注意を要します。全てのクライアントへの
    互換性を最大限に保証するために、キーワード "Basic" には、
    大文字の"B"を使用して書くべきです。realm文字列は(一重引用符ではなく)
    二重引用符で括る必要があります。また、<emphasis>HTTP/1.0 401</emphasis>
    ヘッダ行のコード <emphasis>401</emphasis> の前には、
    1つだけ空白を置く必要があります。
    認証パラメータは、
    カンマ区切りで指定しなければなりません。
   </para>
  </note>

  <para>
   単に <varname>PHP_AUTH_USER</varname>および<varname>PHP_AUTH_PW</varname>
   を出力するのではなく、ユーザー名とパスワードの有効性をチェックしたいと
   思うかもしれません。
   その場合、クエリーをデータベースに送るか、ある dbm ファイル中の
   ユーザーを調べるといったことをすることになるでしょう。
  </para>

  <para>
   バグのある Internet Explorer ブラウザには注意してください。このブラ
   ウザは、ヘッダの順序に関してとてもうるさいようです。今のところ、
   <literal>HTTP/1.0 401</literal> ヘッダの前に
   <emphasis>WWW-Authenticate</emphasis> ヘッダを送るのが効果があるようです。
  </para>

  <note>
   <title>設定上の注意</title>
   <para>
    PHP は、外部認証が動作しているかどうかの判定を
    <literal>AuthType</literal> ディレクティブの有無で行います。
   </para>
  </note>

  <simpara>
   しかし、上記の機能も、認証を要求されないURLを管理する人が同じサーバー
   にある認証を要するURLからパスワードを盗むことを防ぐわけではありませ
   ん。
  </simpara>
  <simpara>
   サーバーからレスポンスコード 401 を受けた際に、Netscape Navigatorおよび
   Internet Explorer は共にローカルブラウザのウインドウ上の認証キャッシュを
   消去します。この機能により、簡単にユーザーを"ログアウト"させ、強制的に
   ユーザー名とパスワードを再入力させることができます。この機能は、
   "タイムアウト" 付きのログインや、"ログアウト" ボタンに適用されています。
  </simpara>
  <example>
   <title>新規に名前 / パスワードを入力させる HTTP 認証の例</title>
   <programlisting role="php">
<![CDATA[
<?php
function authenticate() {
    header('WWW-Authenticate: Basic realm="Test Authentication System"');
    header('HTTP/1.0 401 Unauthorized');
    echo "このリソースにアクセスする際には有効なログインIDとパスワードを入力する必要があります。\n";
    exit;
}

if (!isset($_SERVER['PHP_AUTH_USER']) ||
    ($_POST['SeenBefore'] == 1 && $_POST['OldAuth'] == $_SERVER['PHP_AUTH_USER'])) {
    authenticate();
} else {
    echo "<p>Welcome: " . htmlspecialchars($_SERVER['PHP_AUTH_USER']) . "<br />";
    echo "Old: " . htmlspecialchars($_REQUEST['OldAuth']);
    echo "<form action='' method='post'>\n";
    echo "<input type='hidden' name='SeenBefore' value='1'>\n";
    echo "<input type='hidden' name='OldAuth' value=\"" . htmlspecialchars($_SERVER['PHP_AUTH_USER']) . "\" />\n";
    echo "<input type='submit' value='Re Authenticate'>\n";
    echo "</form></p>\n";
}
?>
]]>
   </programlisting>
  </example>
  <simpara>
   この動作は、<literal>HTTP Basic</literal> 認証の標準に基づいていません。よって、この機能に
   依存しないように注意する必要があります。<literal>Lynx</literal> によるテストの結果、
   <literal>Lynx</literal> は、認証証明書を 401 サーバー応答によりクリアしないことが明らかに
   なっています。このため、back を押してから forward を再度押すことにより
   証明書の要件が変更されない限りリソースをオープンすることができます。
   しかし、ユーザーは <literal>'_'</literal> キーを押すことにより認証情報をクリアすることが可能です。
  </simpara>
  <simpara>
   IIS サーバーと CGI 版の PHP の組み合わせで HTTP 認証を使うには、
   IIS の設定の "<literal>ディレクトリセキュリティ</literal>" の "<literal>編集</literal>" ボタンを押して
   "<literal>匿名アクセス</literal>" のみをオンにしてください。
   その他のフィールドはオフのままにしてください。
  </simpara>
  <note>
   <title>IIS に関する注意:</title>
   <simpara>
    IIS上 で HTTP 認証を使用する場合、PHP の
    <link linkend="ini.cgi.rfc2616-headers">cgi.rfc2616_headers</link>
    ディレクティブは<literal>0</literal> (デフォルト値) にセットされて
    いなければなりません。
   </simpara>
  </note>

 </chapter>

<!-- Keep this comment at the end of the file
Local variables:
mode: sgml
sgml-omittag:t
sgml-shorttag:t
sgml-minimize-attributes:nil
sgml-always-quote-attributes:t
sgml-indent-step:1
sgml-indent-data:t
indent-tabs-mode:nil
sgml-parent-document:nil
sgml-default-dtd-file:"~/.phpdoc/manual.ced"
sgml-exposed-tags:nil
sgml-local-catalogs:nil
sgml-local-ecat-files:nil
End:
-->