PHP Дайджест авторизации, выход из системы

Question

Есть ли способ выйти из аутентификации дайджеста, выполненной в php.

Я пробовал unset ($ _ SERVER ["PHP_AUTH_DIGEST"]); Но он не попросит перелоги. Я знаю, если я закрою браузер, тогда он будет работать, и вот мои функции.

function login(){ 
     $realm = "Restricted area"; 
     $users = array("jamesm"=>""); 
     if (empty($_SERVER["PHP_AUTH_DIGEST"])) { 
      header("HTTP/1.1 401 Unauthorized"); 
      header("WWW-Authenticate: Digest realm=\"{$realm}\",qop=\"auth\",nonce=\"".uniqid()."\",opaque=\"".md5($realm)."\""); 
      return false; 
     } 
     if (!($data = http_digest_parse($_SERVER["PHP_AUTH_DIGEST"])) || !isset($users[$data["username"]])) 
      return false; 
     $A1 = md5($data["username"] . ":{$realm}:{$users[$data["username"]]}"); 
     $A2 = md5($_SERVER["REQUEST_METHOD"].":{$data["uri"]}"); 
     $valid_response = md5("{$A1}:{$data["nonce"]}:{$data["nc"]}:{$data["cnonce"]}:{$data["qop"]}:{$A2}"); 
     if ($data["response"] != $valid_response) 
      return false; 
     return true; 
    } 
    function logout(){ 
     unset($_SERVER["PHP_AUTH_DIGEST"]); 
     return true; 
    } 

Что еще мне нужно добавить к функции выхода из системы, чтобы закончить это.

Если я сменил область, она работает, но я не хочу, чтобы она менялась.

Answer 1

Сброс $ _SERVER ['PHP_AUTH_DIGEST'] не будет иметь эффекта. Проблема в том, что на задание, которое вы задали, нет «хорошего» ответа.

Спецификация HTTP технически не допускает этого, но на практике большинство браузеров будут эффективно «вывести пользователя из системы», если вы отправите им еще 401. На php.net/http-auth:

Как Netscape Navigator, так и Internet Explorer очистят кеш аутентификации локального браузера для области после получения ответа сервера 401. Это может эффективно «выйти из системы» пользователя, заставив их повторно ввести свое имя пользователя и пароль , Некоторые люди используют это для «тайм-аута» входа в систему или предоставляют кнопку «выхода из системы».

Из кода, самый простой способ, вероятно, что-то вроде:

function logout(){ 
    header('HTTP/1.1 401 Unauthorized'); 
    return true; 
} 

, но, опять же, это не на самом деле что-то одобрял спецификацией HTTP.

Answer 2

Авторитетный ответ: http://tools.ietf.org/id/draft-ietf-httpbis-p7-auth-12.txt - раздел 6.1
Нет надежного способа.

Некоторые обходные пути включают подделку 401 и изменение realm = или подтверждение запроса AJAX auth с целенаправленно недействительными учетными данными.