archived-doc-ja/features/http-auth.xml

<?xml version="1.0" encoding="utf-8"?>
<!-- $Revision$ -->
<!-- EN-Revision: cd4180557a185469a64a7eb26f7be98d0a5f1ebb Maintainer: hirokawa Status: ready -->
<!-- CREDITS: shimooka,takagi,mumumu -->
 <chapter xml:id="features.http-auth" xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink">
  <title>PHP による HTTP 認証</title>

  <simpara>
   <function>header</function> 関数を使うと、
   <literal>"Authentication Required"</literal>
   メッセージをクライアントブラウザに送ることができます。
   これにより、クライアントブラウザではユーザー名とパスワードの入力要求
   ウインドウがポップアップ表示されます。一度、ユーザーがユーザー名と
   パスワードを入力すると、PHP スクリプトを含むその URL は、次回以降、
   <link linkend="reserved.variables">定義済みの変数</link>
   <varname>PHP_AUTH_USER</varname> と、 <varname>PHP_AUTH_PW</varname> と、
   <varname>AUTH_TYPE</varname> にそれぞれユーザー名、
   パスワード、認証型が代入された状態で呼ばれます。
   定義済みの変数は、配列
   <varname>$_SERVER</varname> でアクセス可能です。
   "Basic" 認証 <emphasis>のみ</emphasis> がサポートされています。詳細は、
   <function>header</function>を参照ください。
  </simpara>

  <para>
   ページ上でクライアント認証を強制するスクリプトの例を以下に示します。
  </para>
  <para>
   <example>
    <title>Basic HTTP 認証の例</title>
    <programlisting role="php">
<![CDATA[
<?php
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('HTTP/1.1 401 Unauthorized');
    header('WWW-Authenticate: Basic realm="My Realm"');
    echo "ユーザーがキャンセルボタンを押した時に送信されるテキスト\n";
    exit;
} else {
    echo "<p>こんにちは、{$_SERVER['PHP_AUTH_USER']} さん。</p>";
    echo "<p>あなたは、{$_SERVER['PHP_AUTH_PW']} をパスワードとして入力しました。</p>";
}
?>
]]>
    </programlisting>
   </example>
  </para>

  <note>
   <title>互換性</title>
   <para>
    HTTPヘッダ行をコーディングする際には注意を要します。全てのクライアントへの
    互換性を最大限に保証するために、キーワード "Basic" には、
    大文字の"B"を使用して書くべきです。realm文字列は(一重引用符ではなく)
    二重引用符で括る必要があります。また、<emphasis>HTTP/1.1 401</emphasis>
    ヘッダ行のコード <emphasis>401</emphasis> の前には、
    1つだけ空白を置く必要があります。
    認証パラメータは、
    カンマ区切りで指定しなければなりません。
   </para>
  </note>

  <para>
   単に <varname>PHP_AUTH_USER</varname>および<varname>PHP_AUTH_PW</varname>
   を出力するのではなく、ユーザー名とパスワードの有効性をチェックしたいと
   思うかもしれません。
   その場合、クエリーをデータベースに送るか、ある dbm ファイル中の
   ユーザーを調べるといったことをすることになるでしょう。
  </para>

  <note>
   <title>Apache の設定</title>
   <para>
    PHP は、外部認証が動作しているかどうかの判定を
    <literal>AuthType</literal> ディレクティブの有無で行います。
   </para>
  </note>

  <simpara>
   しかし、上記の機能も、認証を要求されないURLを管理する人が同じサーバー
   にある認証を要するURLからパスワードを盗むことを防ぐわけではありませ
   ん。
  </simpara>

  <note>
   <title>ブラウザの挙動</title>
   <simpara>
    HTTP Basic 認証は非常に基本的なもので、ログアウトをサポートするようには
    設計されていません。HTTP はステートレスなプロトコルであるため、
    ほとんどのブラウザは <literal>2xx</literal> ステータスコードを受け取ると
    すぐに認証情報をキャッシュし、ブラウザを閉じるまですべてのリクエストで
    その認証情報を送信し続けます。サーバーが認証情報の再入力を求める
    プロンプトを要求するための標準的な方法は定義されていません。

    長年にわたり、この問題に対するさまざまな回避策がインターネット上で
    広まってきましたが、それらはすべて、異なるブラウザが未定義のエッジケース
    （あるいは HTTP 標準の違反さえも）をどのように処理するかに依存しています。
    このような回避策は避け、Basic 認証を重要な用途に使用しないことが最善です。
   </simpara>
  </note>

  <note>
   <title>IIS の設定</title>
   <simpara>
    IIS サーバーと CGI 版の PHP の組み合わせで HTTP 認証を使うには、
    php.ini ディレクティブ <link linkend="ini.cgi.rfc2616-headers">cgi.rfc2616_headers</link>
    を <literal>0</literal> (デフォルト値) に設定し、IIS の設定の
    "<literal>ディレクトリセキュリティ</literal>" を編集する必要があります。
    "<literal>編集</literal>" ボタンを押して
    "<literal>匿名アクセス</literal>" のみをオンにしてください。
    その他のフィールドはオフのままにしてください。
   </simpara>
  </note>

 </chapter>

<!-- Keep this comment at the end of the file
Local variables:
mode: sgml
sgml-omittag:t
sgml-shorttag:t
sgml-minimize-attributes:nil
sgml-always-quote-attributes:t
sgml-indent-step:1
sgml-indent-data:t
indent-tabs-mode:nil
sgml-parent-document:nil
sgml-default-dtd-file:"~/.phpdoc/manual.ced"
sgml-exposed-tags:nil
sgml-local-catalogs:nil
sgml-local-ecat-files:nil
End:
-->