Authentification par Htaccess : Déconnexion ?
bonjour,
dans le wiki : "Authentification par Htaccess" ,
Mais, une fois dans la partie "administration", la b][em]déconnexion[/em][/b ne marche plus ! il faut fermer le navigateur.
J'essaie de bricoler "/index.php" et "/core/admin/auth.php", mais est-ce que ça vaut le coup ?
dans le wiki : "Authentification par Htaccess" ,
Il s'agit de confier l'authentification au mécanisme "htaccess & htpasswd" d'Apache, et de remplacer $_POST par $_SERVERDans votre fichier "/core/admin/auth.php", rechercher et remplacer :
if(!empty($_POST) AND !empty($_POST))
Mais, une fois dans la partie "administration", la b][em]déconnexion[/em][/b ne marche plus ! il faut fermer le navigateur.
J'essaie de bricoler "/index.php" et "/core/admin/auth.php", mais est-ce que ça vaut le coup ?
Connectez-vous ou Inscrivez-vous pour répondre.
Réponses
je pense que le sujet rejoint l'utilisation des chmod(s) et les problèmes liés à la sécurité.
on en parle ici http://forum.pluxml.org/viewtopic.php?id=5220
As tu besoin de cette fonctionnalité ou est ce expérimental ?
doit manquer un morceau dans le wiki, car il y a le code à "rechercher" dans le fichier "auth.php" mais ça ne dit pas par quoi le "remplacer".
Ce qui explique sans doute que la déconnexion depuis la page admin ne fonctionne pas.
Si je comprends bien le but est de désactiver le mécanisme d'authentification interne de pluxml pour utiliser celui du serveur apache ; il y a sans doute un soucis au niveau de la gestion de la session authentifiée au niveau du navigateur.
@newic : si le blog est protégé par htaccess, il n'y a que ceux à qui a été communiqué un i]login/pw[/i qui connaissent l' URL du blog, ou presque. La sécurité est celle de htaccess, la déconnexion d'une entrée par htaccess ne se fait qu'en fermant complètement le navigateur, en déclenchant un 401, ou se connectant à un autre dossier (autre login) protégé par un autre htaccess. Je ne vois pas à ce niveau le role de chmod, car à travers http, le visiteur apparait comme faisant partie du groupe 'www-data', pour autant que j'aie compris.
@kowalsky : oui, le wiki est "succinct" ! Le module "auth.php", pour entrer dans l'administration, demande et vérifie un i]login/pw[/i. Il suffit de modifier la vérification, en remplaçant le 'login' par le 'remote-user' et en vérifiant uniquement ce "user", sans s'occuper d'un "pw", déjà controlé par htaccess.
On bénéficie du niveau de sécurité fourni par htaccess. Bien entendu, seuls les 'remote-user' autorisés dans le blog peuvent entrer dans la partie administration.
Le problème est la "déconnexion" : dans le cas présent, si un 'user' est dans les tables du blog, il est immédiatement reconnu, donc il n'y a pas de déconnexion , qui devrait être une déconnexion de l'identification par htaccess, ou un mécanisme du blog qui désactive la reconnaissance automatique du "remote-user". Je n'ai pas trouvé comment faire, sans faille.
Je voulais savoir si quelqu'un avait rencontré le problème, sachant qu'il s'agit en fait de faire un "blog privé", réservé à un groupe délimité de visiteurs connus (un groupe de travail, un club, une gestion d'association, des membres d'une famille, ou d'amis).