http basic认证的那些事

编	写：袁	亮
时	间：2015-07-13
说	明：http basic认证的那些事

一、什么是http basic认证？
	1、由http协议规定
	2、提供简单的用户验证功能，适合于对安全性要求不高的地方
	3、通过在http头部增加
		Authorization: Basic username:password
		的方式，来向服务端证明自己是一个被授权访问的用户
	4、优点：
		简单、方便
	5、缺点：
		安全性太低，账号密码容易泄露，而且不方便升级维护
	6、替代协议
		oauth，使用oauth可以提供更安全的授权访问，但是实现较复杂
		现有oauth已经到了2.0版本，有兴趣的可以去了解下
	
二、常见使用方式
	1、最熟悉的，应该是大家家里的路由器登陆页面，那就是一个典型的http basic认证
	2、一些比较旧的项目后台，也会有这种登陆方式
	3、自己写一些临时后台，又不想介入复杂的账号体系的话，也可以使用该验证方式

三、工作流程
	1、浏览器第一次访问，没有带上相应账号密码请求
	2、服务器端，判断如果没有带上相应请求头Authorization: Basic，则返回401状态码，以及
		WWW-Authenticate:Basic realm="验证输入框标题"
	3、浏览器收到401状态码，弹出各浏览器自行实现的账号、密码输入框供用户输入
	4、浏览器将用户输入的用户和密码拼接，并加入到请求头中
		Authorization: Basic base64_encode(username:password)
	5、服务端将内容解析出来，并与自己的账号密码库比对，如果失败，继续要求填写账号密码
		如果正确，则继续访问，并在之前的每次访问都带上相应的请求头
	
四、几种实现方式
	1、apache设置【主要使用】
		1.1 开启设置，在httpd.conf文件中，相应目录上设置（需要重新apache服务）
			AuthType Basic
            AuthName "请输入你的账号密码"
            AuthUserFile .htpasswd	#账号密码存储文件位置
            Require valid-user #账号文件中的所有用户都可访问
		1.2 添加账号
			/opt/ci123/apache/bin/htpasswd -m /opt/ci123/www/html/geekman/.htpasswd username
			//注意，第一次添加需要加-cm参数创建文件，之前不允许加-c，否则会直接覆盖那个文件，导致其他账号丢失
		1.3 修改密码，同添加
		1.4 删除账号，找到对应的账号文件，直接删除那一行即可
	2、php设置，弹出
		if (!isset($_SERVER['PHP_AUTH_USER'])) {
			header('WWW-Authenticate: Basic realm="My Realm"');
			header('HTTP/1.0 401 Unauthorized');
			echo 'Text to send if user hits Cancel button';
			die;
		} else {
			echo "
Hello {$_SERVER['PHP_AUTH_USER']}.
";
			echo "
You entered {$_SERVER['PHP_AUTH_PW']} as your password.
";
			//验证该账号密码是否在允许范围内
		}

五、程序模拟访问带http basic的页面
	1、两种请求方式
		1.1 将账号密码拼接在链接中
			http://username:password@192.168.0.249/memadmin/basic.php 
		1.2 请求头中增加
			Authorization: Basic base64_encode(username:password)
	2、curl模拟账号密码
		curl_setopt($ch, CURLOPT_HTTPAUTH, CURLAUTH_BASIC);
		curl_setopt($ch, CURLOPT_USERPWD, username:password);  
	3、rpc接口
		初始化的时候，第三、第四个参数分别填用户名密码即可