PHP Digest auth, Logout

Question

Gibt es eine Möglichkeit, eine Digest-Authentifizierung in PHP abgemeldet.

Ich habe versucht, unset ($ _ SERVER ["PHP_AUTH_DIGEST"]); Aber es wird nicht gebeten, sich erneut anzumelden. Ich weiß, wenn ich den Browser schließe, dann wird es funktionieren und hier sind meine Funktionen.

function login(){ 
     $realm = "Restricted area"; 
     $users = array("jamesm"=>""); 
     if (empty($_SERVER["PHP_AUTH_DIGEST"])) { 
      header("HTTP/1.1 401 Unauthorized"); 
      header("WWW-Authenticate: Digest realm=\"{$realm}\",qop=\"auth\",nonce=\"".uniqid()."\",opaque=\"".md5($realm)."\""); 
      return false; 
     } 
     if (!($data = http_digest_parse($_SERVER["PHP_AUTH_DIGEST"])) || !isset($users[$data["username"]])) 
      return false; 
     $A1 = md5($data["username"] . ":{$realm}:{$users[$data["username"]]}"); 
     $A2 = md5($_SERVER["REQUEST_METHOD"].":{$data["uri"]}"); 
     $valid_response = md5("{$A1}:{$data["nonce"]}:{$data["nc"]}:{$data["cnonce"]}:{$data["qop"]}:{$A2}"); 
     if ($data["response"] != $valid_response) 
      return false; 
     return true; 
    } 
    function logout(){ 
     unset($_SERVER["PHP_AUTH_DIGEST"]); 
     return true; 
    } 

Was muss ich die Abmeldefunktion hinzuzufügen, dies zu erledigen.

Wenn ich den Bereich ändern, funktioniert es, aber ich möchte nicht geändert werden.

Answer 1

Das Deaktivieren von $ _SERVER ['PHP_AUTH_DIGEST'] hat keine Auswirkungen. Das Problem ist, es gibt nicht wirklich eine "gute" Antwort auf die Aufgabe, die Sie gestellt haben.

Die HTTP-Spezifikation für technisch nicht erlaubt es, aber in der Praxis wird „log der Benutzer aus“ Die meisten Browser da draußen effektiv, wenn man sie ein anderes 401. Per php.net/http-auth senden:

Sowohl Netscape Navigator als auch Internet Explorer löschen den Authentifizierungscache des lokalen Browserfensters für den Realm nach Erhalt einer Serverantwort von 401. Dies kann einen Benutzer effektiv "ausloggen" und ihn dazu zwingen, seinen Benutzernamen und sein Passwort erneut einzugeben . Einige Leute verwenden dies, um Anmeldungen "auszumerzen" oder einen "Abmelden" -Button bereitzustellen.

aus dem Code, ist die einfachste Methode ist wahrscheinlich so etwas wie:

function logout(){ 
    header('HTTP/1.1 401 Unauthorized'); 
    return true; 
} 

, aber auch hier, das ist etwas eigentlich nicht die Spezifikation, die von der HTTP genehmigt.

Answer 2

Autoritative Antwort: http://tools.ietf.org/id/draft-ietf-httpbis-p7-auth-12.txt - Abschnitt 6.1
Es gibt keinen zuverlässigen Weg.

Einige Problemumgehungen umfassen das Vortäuschen eines 401 und das Ändern des Bereichs = oder das Bestätigen einer AJAX-Authentifizierungsanforderung mit absichtlich ungültigen Anmeldeinformationen.