PHP Digest auth, logout

Question

Esiste un modo per disconnettersi dall'autenticazione digest effettuata in php.

Ho provato unset ($ _ SERVER ["PHP_AUTH_DIGEST"]); Ma non chiederà di relogin. So che se chiudo il browser allora funzionerà e qui ci sono le mie funzioni.

function login(){ 
     $realm = "Restricted area"; 
     $users = array("jamesm"=>""); 
     if (empty($_SERVER["PHP_AUTH_DIGEST"])) { 
      header("HTTP/1.1 401 Unauthorized"); 
      header("WWW-Authenticate: Digest realm=\"{$realm}\",qop=\"auth\",nonce=\"".uniqid()."\",opaque=\"".md5($realm)."\""); 
      return false; 
     } 
     if (!($data = http_digest_parse($_SERVER["PHP_AUTH_DIGEST"])) || !isset($users[$data["username"]])) 
      return false; 
     $A1 = md5($data["username"] . ":{$realm}:{$users[$data["username"]]}"); 
     $A2 = md5($_SERVER["REQUEST_METHOD"].":{$data["uri"]}"); 
     $valid_response = md5("{$A1}:{$data["nonce"]}:{$data["nc"]}:{$data["cnonce"]}:{$data["qop"]}:{$A2}"); 
     if ($data["response"] != $valid_response) 
      return false; 
     return true; 
    } 
    function logout(){ 
     unset($_SERVER["PHP_AUTH_DIGEST"]); 
     return true; 
    } 

Cos'altro ho bisogno di aggiungere alla funzione di logout per terminarlo.

Se cambio il dominio funziona ma non voglio che venga modificato.

Answer 1

Il blocco $ _SERVER ['PHP_AUTH_DIGEST'] non ha alcun effetto. Il problema è che non c'è una risposta "buona" all'attività che hai impostato.

La specifica HTTP non tecnicamente consentono di esso, ma in pratica, la maggior parte dei browser là fuori sarà effettivamente "scollegare l'utente" se si inviano loro un altro 401. Per php.net/http-auth:

Sia Netscape Navigator che Internet Explorer cancellano la cache di autenticazione della finestra del browser locale per il dominio ricevendo una risposta del server di 401. Questo può effettivamente "disconnettere" un utente, costringendoli a reinserire il nome utente e la password . Alcune persone usano questo per "timeout" accessi o forniscono un pulsante di "disconnessione".

dal codice, il metodo più semplice è probabilmente qualcosa di simile:

function logout(){ 
    header('HTTP/1.1 401 Unauthorized'); 
    return true; 
} 

ma, ancora una volta, questo non è in realtà qualcosa approvato dalle specifiche HTTP.

Answer 2

Risposta autorevole: http://tools.ietf.org/id/draft-ietf-httpbis-p7-auth-12.txt - sezione 6.1
Non esiste un modo affidabile.

Alcune soluzioni includono la simulazione di un 401 e la modifica del dominio =, o il riconoscimento di una richiesta di autorizzazione AJAX con credenziali volutamente non valide.