【nginx&php】後臺權限認證方式

時間 2019-11-06

原文原文鏈接

1、最經常使用的方法（代碼中限制）

一、如何限制IP

function get_new_ip(){
    if(getenv('HTTP_CLIENT_IP')) {
        $onlineip = getenv('HTTP_CLIENT_IP');
    } elseif(getenv('HTTP_X_FORWARDED_FOR')) {
        $onlineip = getenv('HTTP_X_FORWARDED_FOR');
    } elseif(getenv('REMOTE_ADDR')) {
       $onlineip = getenv('REMOTE_ADDR');
    } else {
       $onlineip = $HTTP_SERVER_VARS['REMOTE_ADDR'];
    }    
    return $onlineip;
}

$onlineip = get_new_ip();
$wip = ['127.0.0.1']; 

if(!in_array($onlineip, $wip)){
    header("HTTP/1.1 404 Not Found");
    header("Status: 404 Not Found");
    exit;
}

二、進行密碼驗證

///////////////// Password protect ////////////////////////////////////////////////////////////////
define('ADMIN_USERNAME','test');     // Admin Username
define('ADMIN_PASSWORD','test');    // Admin Password


if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW']) ||
           $_SERVER['PHP_AUTH_USER'] != ADMIN_USERNAME || $_SERVER['PHP_AUTH_PW'] != ADMIN_PASSWORD) {
            Header("WWW-Authenticate: Basic realm=\"discuz Login\"");
            Header("HTTP/1.0 401 Unauthorized");

            echo <<<EOB
                <html><body>
                <h1>Rejected!</h1>
                <big>Wrong Username or Password!</big>
                </body></html>
EOB;
            exit;
}
////////// END OF DEFAULT CONFIG AREA /////////////////////////////////////////////////////////////

2、NGINX中限制

一、IP限制

官方文檔：http://nginx.org/en/docs/http/ngx_http_access_module.htmlphp

location / {
    deny  192.168.1.1;
    allow 192.168.1.0/24;
    allow 10.1.1.0/16;
    allow 2001:0db8::/32;
    deny  all;
}

二、auth_basic 本機認證（nginx默認支持）

官方文檔：http://nginx.org/en/docs/http/ngx_http_auth_basic_module.htmlhtml

安裝密碼工具nginx

yum -y install httpd-tools

生成密碼算法

htpasswd -c pass.db

nginx中配置（須要維護 pass.db 文件）

auth_basic "User Authentication";
auth_basic_user_file  conf/pass.db;

三、ngx_http_auth_request_module 第三方認證

官方文檔：http://nginx.org/en/docs/http/ngx_http_auth_request_module.htmljson

須要安裝：--with-http_auth_request_module 模塊api

#auth_basic "User Authentication";
#auth_basic_user_file conf/pass.db;

auth_request /auth;

location = /auth {
    proxy_pass ...
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    proxy_set_header X-Original-URI $request_uri;
}

這裏能夠反代到，http://www.auth.com/api/HttpBasicAuthenticate.php，代碼以下：bash

///////////////// Password protect ////////////////////////////////////////////////////////////////
define('ADMIN_USERNAME','test');     // Admin Username
define('ADMIN_PASSWORD','test');    // Admin Password


if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW']) ||
           $_SERVER['PHP_AUTH_USER'] != ADMIN_USERNAME || $_SERVER['PHP_AUTH_PW'] != ADMIN_PASSWORD) {
            Header("WWW-Authenticate: Basic realm=\"discuz Login\"");
            Header("HTTP/1.0 401 Unauthorized");

            echo <<<EOB
                <html><body>
                <h1>Rejected!</h1>
                <big>Wrong Username or Password!</big>
                </body></html>
EOB;
            exit;
}
////////// END OF DEFAULT CONFIG AREA /////////////////////////////////////////////////////////////

四、 ngx_http_auth_jwt_module 第三方認證

官方文檔：http://nginx.org/en/docs/http/ngx_http_auth_jwt_module.html工具

location / {
    auth_jwt           "closed site";
    auth_jwt_key_file  conf/keys.json;
    auth_jwt_claim_set $email info e-mail;
    auth_jwt_claim_set $job info "job title";
}

加密算法更加複雜加密

原理同上jwt

配置代碼：

location ~ /admin/.*php$ {
location = /admin.php {

    allow 127.0.0.1;
    deny all;

    auth_basic "Authorized users only";
     auth_basic_user_file authkey/auth.com.db;

    fastcgi_pass common;
    fastcgi_index index.php;
    include fastcgi_params;
    fastcgi_param  SCRIPT_FILENAME     $document_root$fastcgi_script_name;

}