PHPダイジェスト認証、ログアウト

Question

PHPで行われたダイジェスト認証をログアウトする方法はありますか？

私はunset（$ _ SERVER ["PHP_AUTH_DIGEST"]）を試みました。 しかし、それはreloginを要求しません。 ブラウザを閉じても機能し、ここに自分の機能があります。

function login(){ 
     $realm = "Restricted area"; 
     $users = array("jamesm"=>""); 
     if (empty($_SERVER["PHP_AUTH_DIGEST"])) { 
      header("HTTP/1.1 401 Unauthorized"); 
      header("WWW-Authenticate: Digest realm=\"{$realm}\",qop=\"auth\",nonce=\"".uniqid()."\",opaque=\"".md5($realm)."\""); 
      return false; 
     } 
     if (!($data = http_digest_parse($_SERVER["PHP_AUTH_DIGEST"])) || !isset($users[$data["username"]])) 
      return false; 
     $A1 = md5($data["username"] . ":{$realm}:{$users[$data["username"]]}"); 
     $A2 = md5($_SERVER["REQUEST_METHOD"].":{$data["uri"]}"); 
     $valid_response = md5("{$A1}:{$data["nonce"]}:{$data["nc"]}:{$data["cnonce"]}:{$data["qop"]}:{$A2}"); 
     if ($data["response"] != $valid_response) 
      return false; 
     return true; 
    } 
    function logout(){ 
     unset($_SERVER["PHP_AUTH_DIGEST"]); 
     return true; 
    } 

さらにこれをやめるためにログアウト機能を追加する必要があります。

私が領域を変更した場合は機能しますが、変更する必要はありません。

Answer 1

$ _SERVER ['PHP_AUTH_DIGEST']の設定を解除しても効果はありません。問題は、あなたが設定したタスクに本当に「良い」答えがないということです。

HTTP仕様では技術的に許可されていませんが、実際には、実際には、他のブラウザに401を送信すると、ほとんどのブラウザが効果的に「ログアウト」します。Per php.net/http-auth：

サーバレスポンス401を受信すると、Netscape NavigatorとInternet Explorerの両方で領域のローカルブラウザウィンドウの認証キャッシュがクリアされます。これにより、ユーザは効果的にユーザをログアウトし、ユーザ名とパスワードを再入力することができます。ログインを「タイムアウト」するために、または「ログアウト」ボタンを提供するために、これを使用する人もいます。あなたのコードから

、最も簡単な方法は、おそらくのようなものです：

function logout(){ 
    header('HTTP/1.1 401 Unauthorized'); 
    return true; 
} 

しかし、再び、これは実際にはHTTP仕様での承認を受けたものではありません。

Answer 2

正解：http://tools.ietf.org/id/draft-ietf-httpbis-p7-auth-12.txt - セクション6.1
信頼できる方法はありません。

いくつかの回避策には、401を偽造し、領域を変更する、または意図的に無効な資格情報を使用してAJAX認証要求を承認するなどがあります。