Apache模块mod_auth_form

基本配置

为了保护与特定的URL mod_auth_form，你需要决定你将存储你的会话，你需要决定你会用什么方法来验证。在这个简单的示例中，登录详细信息将基于存储在会话中 mod_session_cookie，并使用尝试对文件进行身份验证mod_authn_file。如果认证失败，则用户将被重定向到表单登录页面。

<Location "/admin">
    AuthFormProvider file
    AuthUserFile "conf/passwd"
    AuthType form
    AuthName "/admin"
    AuthFormLoginRequiredLocation "http://example.com/login.html"

    Session On
    SessionCookieName session path=/

    Require valid-user
</Location>

设置为值形式时，伪指令AuthType将启用mod_auth_form身份验证。指令和 指定应根据所选文件检查用户名和密码。AuthFormProviderAuthUserFile

指令Session和 SessionCookieName 会话存储在浏览器的HTTP cookie中。有关配置会话的不同选项的更多信息，请阅读的文档 mod_session。

您可以选择添加 SessionCryptoPassphrase来创建加密的会话Cookie。这需要mod_session_crypto加载附加模块。

在上面的简单示例中，URL已受到的保护 mod_auth_form，但是尚未为用户提供输入其用户名和密码的机会。这样做的选项包括为此目的提供专用的独立登录页面，或内联提供登录页面。

独立登录

该登录表单可以作为独立页面托管，也可以在同一页面上内联提供。

当将登录配置为独立页面时，不成功的身份验证尝试应使用AuthFormLoginRequiredLocation 指令重定向到网站为此目的而创建的登录表单。通常，此登录页面将包含HTML表单，要求用户提供其使用名和密码。

<form method="POST" action="/dologin.html">
  Username: <input type="text" name="httpd_username" value="" />
  Password: <input type="password" name="httpd_password" value="" />
  <input type="submit" name="login" value="Login" />
</form>

进行实际登录的部分由form-login-handler处理。表单的操作应指向此处理程序，该处理程序在Apache httpd中进行如下配置：

<Location "/dologin.html">
    SetHandler form-login-handler
    AuthFormLoginRequiredLocation "http://example.com/login.html"
    AuthFormLoginSuccessLocation "http://example.com/admin/index.html"
    AuthFormProvider file
    AuthUserFile "conf/passwd"
    AuthType form
    AuthName /admin
    Session On
    SessionCookieName session path=/
</Location>

AuthFormLoginRequiredLocation指令指定的URL 通常将指向一个页面，向用户解释其登录尝试失败，因此应再次尝试。该AuthFormLoginSuccessLocation 指令规定了用户应成功登录后重定向的URL。

或者，可以将成功重定向用户的URL嵌入在登录表单中，如下例所示。结果，可以将相同的表单登录处理程序重新用于网站的不同区域。

<form method="POST" action="/dologin.html">
  Username: <input type="text" name="httpd_username" value="" />
  Password: <input type="password" name="httpd_password" value="" />
  <input type="submit" name="login" value="Login" />
  <input type="hidden" name="httpd_location" value="http://example.com/success.html" />
</form>

内联登录

作为网站专用登录页面的替代方法，可以配置mod_auth_form为内联身份验证用户，而无需重定向到另一个页面。这允许在登录尝试期间保留当前页面的状态。在有时间限制的会话生效并且会话在用户请求中间超时的情况下，这很有用。可以在适当位置重新认证用户，然后他们可以从中断的地方继续进行。

如果未经身份验证的用户尝试访问mod_auth_form未由AuthFormLoginRequiredLocation伪指令配置的受保护页面 ，则 HTTP_UNAUTHORIZED状态代码会返回到浏览器，以指示该用户无权查看该页面。

要配置内联身份验证，管理员将使用包含登录表单的自定义错误文档覆盖HTTP_UNAUTHORIZED状态代码返回的错误文档，如下所示：

AuthFormProvider file
ErrorDocument 401 "/login.shtml"
AuthUserFile "conf/passwd"
AuthType form
AuthName realm
AuthFormLoginRequiredLocation "http://example.com/login.html"
Session On
SessionCookieName session path=/

错误文档页面应包含具有空action属性的登录表单，如以下示例所示。这样可以将表单提交到原始受保护的URL，而页面不必知道该URL是什么。

<form method="POST" action="">
  Username: <input type="text" name="httpd_username" value="" />
  Password: <input type="password" name="httpd_password" value="" />
  <input type="submit" name="login" value="Login" />
</form>

最终用户填写了登录详细信息后，该表单将向原始受密码保护的URL发出HTTP POST请求。 mod_auth_form会拦截此POST请求，如果在用户名和密码的HTML字段中找到了HTML字段，则该用户将登录，原始的受密码保护的URL将作为GET请求返回给用户。

内联登录并保存身体

上述内联登录技术的局限性在于，如果HTML表单POST导致请求了身份验证或重新身份验证，则浏览器发布的原始表单的内容将丢失。根据网站的功能，这可能给最终用户带来极大的不便。

mod_auth_form通过允许将原始请求的方法和主体嵌入登录表单来解决此问题。如果身份验证成功，则Apache httpd将重试原始方法和主体，并保留原始请求的状态。

要启用正文保存，请按照以下示例在登录表单中添加三个其他字段。

<form method="POST" action="">
  Username: <input type="text" name="httpd_username" value="" />
  Password: <input type="password" name="httpd_password" value="" />
  <input type="submit" name="login" value="Login" />
  
  <input type="hidden" name="httpd_method" value="POST" />
  <input type="hidden" name="httpd_mimetype" value="application/x-www-form-urlencoded" />
  <input type="hidden" name="httpd_body" value="name1=value1&name2=value2" />

</form>

如何将原始请求的方法，模仿类型和主体嵌入登录表单中，这取决于网站中使用的平台和技术。

一种选择是将mod_include模块与 KeptBodySize指令一起使用，以及合适的CGI脚本将变量嵌入表格中。

另一种选择是使用CGI脚本或其他动态技术来呈现登录表单。

AuthFormProvider file
ErrorDocument 401 "/cgi-bin/login.cgi"
...

注销

要使用户能够注销特定的会话，请配置要由form-logout-handler处理的页面。任何尝试访问此URL的操作都会导致用户名和密码从当前会话中删除，从而有效地注销用户。

通过设置 AuthFormLogoutLocation指令，可以指定成功注销后将浏览器重定向到的URL。该URL可能会向用户说明他们已经注销，并为用户提供了重新登录的选项。

SetHandler form-logout-handler
AuthName realm
AuthFormLogoutLocation "http://example.com/loggedout.html"
Session On
SessionCookieName session path=/

请注意，注销用户并不会删除会话。它只是从会话中删除用户名和密码。如果这导致会话为空，则最终结果将是删除该会话，但这不能保证。如果要保证删除会话，请将SessionMaxAge伪指令设置 为一个较小的值，例如1（将伪指令设置为零将意味着没有会话期限限制）。

SetHandler form-logout-handler
AuthFormLogoutLocation "http://example.com/loggedout.html"
Session On
SessionMaxAge 1
SessionCookieName session path=/

用户名和密码

请注意，表单提交涉及URLEncoding表单数据：在这种情况下，用户名和密码。因此，您应该选择避免在表单提交中使用URL编码的字符的用户名和密码，否则可能会得到意外的结果。