PHP 다이제스트 인증, 로그 아웃

Question

PHP로 수행 된 다이제스트 인증을 로그 아웃하는 방법이 있습니까?

설정을 취소했습니다. ($ _ SERVER [ "PHP_AUTH_DIGEST"]); 하지만 relogin을 요청하지 않습니다. 브라우저를 닫으면 작동하고 여기에 내 기능이 있는지 확인합니다.

function login(){ 
     $realm = "Restricted area"; 
     $users = array("jamesm"=>""); 
     if (empty($_SERVER["PHP_AUTH_DIGEST"])) { 
      header("HTTP/1.1 401 Unauthorized"); 
      header("WWW-Authenticate: Digest realm=\"{$realm}\",qop=\"auth\",nonce=\"".uniqid()."\",opaque=\"".md5($realm)."\""); 
      return false; 
     } 
     if (!($data = http_digest_parse($_SERVER["PHP_AUTH_DIGEST"])) || !isset($users[$data["username"]])) 
      return false; 
     $A1 = md5($data["username"] . ":{$realm}:{$users[$data["username"]]}"); 
     $A2 = md5($_SERVER["REQUEST_METHOD"].":{$data["uri"]}"); 
     $valid_response = md5("{$A1}:{$data["nonce"]}:{$data["nc"]}:{$data["cnonce"]}:{$data["qop"]}:{$A2}"); 
     if ($data["response"] != $valid_response) 
      return false; 
     return true; 
    } 
    function logout(){ 
     unset($_SERVER["PHP_AUTH_DIGEST"]); 
     return true; 
    } 

더 이상 로그 아웃 기능을 추가해야합니까?

영역을 변경하면 작동하지만 변경하지 않으려합니다.

Answer 1

$ _SERVER [ 'PHP_AUTH_DIGEST'] 설정을 해제해도 아무런 효과가 없습니다. 문제는 설정 한 작업에 실제로 "좋은"대답이 없다는 것입니다.

HTTP 사양은 기술적으로 허용하지 않지만 실제로 다른 브라우저를 보내면 실제로 대부분의 브라우저가 효과적으로 "사용자를 로그 아웃"합니다. php.net/http-auth :

Netscape Navigator와 Internet Explorer는 서버 응답 401을 받으면 영역에 대한 로컬 브라우저 창의 인증 캐시를 지 웁니다. 이렇게하면 사용자를 효과적으로 "로그 아웃하여 사용자 이름과 암호를 다시 입력 할 수 있습니다 . 어떤 사람들은 로그인을 "타임 아웃"하거나 "로그 아웃"버튼을 제공하기 위해 이것을 사용합니다. 코드에서

는, 가장 간단한 방법은 아마 같은 것입니다 : 다시

function logout(){ 
    header('HTTP/1.1 401 Unauthorized'); 
    return true; 
} 

하지만, 이것은 실제로 HTTP 사양에 의해 찬성 것이 아닙니다.

Answer 2

정답 : http://tools.ietf.org/id/draft-ietf-httpbis-p7-auth-12.txt - 섹션 6.1
신뢰할 수있는 방법은 없습니다.

일부 해결 방법은 401을 위장하여 realm =을 변경하거나 잘못된 자격 증명을 사용하여 AJAX 인증 요청을 승인하는 것입니다.