Apache模块mod_authnz_fcgi

调用方式

此模块支持的FastCGI授权者的调用模式通过两个特征（类型和身份验证机制）来区分。

类型仅authn用于身份验证， authz授权或authnz组合的身份验证和授权。

验证机构是指在Apache httpd配置机制和处理阶段，并且可以是 AuthBasicProvider，Require，或 check_user_id。其中的前两个对应于用于参与适当处理阶段的指令。

每种模式的说明：

类型 authn，机制 AuthBasicProvider

在此模式下， FCGI_ROLE设置为AUTHORIZER， FCGI_APACHE_ROLE并且设置为AUTHENTICATOR。应用程序必须被定义为供应商类型authn 使用 AuthnzFcgiDefineProvider，并启用 AuthBasicProvider。调用时，应用程序应使用提供的用户ID和密码对客户端进行身份验证。示例应用程序：

#!/usr/bin/perl
use FCGI;
my $request = FCGI::Request();
while ($request->Accept() >= 0) {
    die if $ENV{'FCGI_APACHE_ROLE'} ne "AUTHENTICATOR";
    die if $ENV{'FCGI_ROLE'}        ne "AUTHORIZER";
    die if !$ENV{'REMOTE_PASSWD'};
    die if !$ENV{'REMOTE_USER'};

    print STDERR "This text is written to the web server error log.\n";

    if ( ($ENV{'REMOTE_USER' } eq "foo" || $ENV{'REMOTE_USER'} eq "foo1") &&
        $ENV{'REMOTE_PASSWD'} eq "bar" ) {
        print "Status: 200\n";
        print "Variable-AUTHN_1: authn_01\n";
        print "Variable-AUTHN_2: authn_02\n";
        print "\n";
    }
    else {
        print "Status: 401\n\n";
    }
}

配置示例：

AuthnzFcgiDefineProvider authn FooAuthn fcgi://localhost:10102/
<Location "/protected/">
  AuthType Basic
  AuthName "Restricted"
  AuthBasicProvider FooAuthn
  Require ...
</Location>

类型 authz，机制 Require

在此模式下，FCGI_ROLE设置为 AUTHORIZER，FCGI_APACHE_ROLE并且设置为 AUTHORIZER。该应用程序必须被定义为提供者类型AuthZ的使用 AuthnzFcgiDefineProvider。调用时，应用程序应使用提供的用户ID和其他请求数据来授权客户端。示例应用程序：

#!/usr/bin/perl
use FCGI;
my $request = FCGI::Request();
while ($request->Accept() >= 0) {
    die if $ENV{'FCGI_APACHE_ROLE'} ne "AUTHORIZER";
    die if $ENV{'FCGI_ROLE'}        ne "AUTHORIZER";
    die if $ENV{'REMOTE_PASSWD'};

    print STDERR "This text is written to the web server error log.\n";

    if ($ENV{'REMOTE_USER'} eq "foo1") {
        print "Status: 200\n";
        print "Variable-AUTHZ_1: authz_01\n";
        print "Variable-AUTHZ_2: authz_02\n";
        print "\n";
    }
    else {
        print "Status: 403\n\n";
    }
}

配置示例：

AuthnzFcgiDefineProvider authz FooAuthz fcgi://localhost:10103/
<Location "/protected/">
  AuthType ...
  AuthName ...
  AuthBasicProvider ...
  Require FooAuthz
</Location>

类型 authnz，机制 AuthBasicProvider + Require

在这种模式下，它支持在网络服务器无关的FastCGI AUTHORIZER协议，FCGI_ROLE被设定为 AUTHORIZER与FCGI_APACHE_ROLE没有被设置。该应用程序必须被定义为提供者类型authnz 使用 AuthnzFcgiDefineProvider。该应用程序应使用用户ID，密码和其他请求数据在同一调用中处理身份验证和授权。调用发生在Apache httpd API身份验证阶段。如果应用程序返回200，并且在授权阶段（通过Require）调用了相同的提供程序，则mod_authnz_fcgi将在授权阶段成功返回而不调用应用程序。示例应用程序：

#!/usr/bin/perl
use FCGI;
my $request = FCGI::Request();
while ($request->Accept() >= 0) {
    die if $ENV{'FCGI_APACHE_ROLE'};
    die if $ENV{'FCGI_ROLE'} ne "AUTHORIZER";
    die if !$ENV{'REMOTE_PASSWD'};
    die if !$ENV{'REMOTE_USER'};

    print STDERR "This text is written to the web server error log.\n";

    if ( ($ENV{'REMOTE_USER' } eq "foo" || $ENV{'REMOTE_USER'} eq "foo1") &&
        $ENV{'REMOTE_PASSWD'} eq "bar" &&
        $ENV{'REQUEST_URI'} =~ m%/bar/.*%) {
        print "Status: 200\n";
        print "Variable-AUTHNZ_1: authnz_01\n";
        print "Variable-AUTHNZ_2: authnz_02\n";
        print "\n";
    }
    else {
        print "Status: 401\n\n";
    }
}

配置示例：

AuthnzFcgiDefineProvider authnz FooAuthnz fcgi://localhost:10103/
<Location "/protected/">
  AuthType Basic
  AuthName "Restricted"
  AuthBasicProvider FooAuthnz
  Require FooAuthnz
</Location>

类型 authn，机制 check_user_id

在此模式下，FCGI_ROLE设置为 AUTHORIZER，FCGI_APACHE_ROLE并且设置为 AUTHENTICATOR。该应用程序必须被定义为提供者类型authn使用 AuthnzFcgiDefineProvider。 AuthnzFcgiCheckAuthnProvider 指定何时调用。示例应用程序：

#!/usr/bin/perl
use FCGI;
my $request = FCGI::Request();
while ($request->Accept() >= 0) {
    die if $ENV{'FCGI_APACHE_ROLE'} ne "AUTHENTICATOR";
    die if $ENV{'FCGI_ROLE'} ne "AUTHORIZER";

    # This authorizer assumes that the RequireBasicAuth option of 
    # AuthnzFcgiCheckAuthnProvider is On:
    die if !$ENV{'REMOTE_PASSWD'};
    die if !$ENV{'REMOTE_USER'};

    print STDERR "This text is written to the web server error log.\n";

    if ( ($ENV{'REMOTE_USER' } eq "foo" || $ENV{'REMOTE_USER'} eq "foo1") &&
        $ENV{'REMOTE_PASSWD'} eq "bar" ) {
        print "Status: 200\n";
        print "Variable-AUTHNZ_1: authnz_01\n";
        print "Variable-AUTHNZ_2: authnz_02\n";
        print "\n";
    }
    else {
        print "Status: 401\n\n";
        # If a response body is written here, it will be returned to
        # the client.
    }
}

配置示例：

AuthnzFcgiDefineProvider authn FooAuthn fcgi://localhost:10103/
<Location "/protected/">
  AuthType ...
  AuthName ...
  AuthnzFcgiCheckAuthnProvider FooAuthn \
                               Authoritative On \
                               RequireBasicAuth Off \
                               UserExpr "%{reqenv:REMOTE_USER}"
  Require ...
</Location>

其他例子

1. 如果您的应用程序支持单独的身份验证和授权角色（AUTHENTICATOR和AUTHORIZER），则按如下所示定义单独的提供程序，即使它们映射到同一应用程序也是如此：

   AuthnzFcgiDefineProvider authn  FooAuthn  fcgi://localhost:10102/
   AuthnzFcgiDefineProvider authz  FooAuthz  fcgi://localhost:10102/

   在上指定authn提供程序 AuthBasicProvider 和上的authz提供程序 Require：

   AuthType Basic
   AuthName "Restricted"
   AuthBasicProvider FooAuthn
   Require FooAuthz

2. 如果您的应用程序支持通用AUTHORIZER角色（一次调用中的身份验证和授权者），则按以下方式定义一个提供程序：

   AuthnzFcgiDefineProvider authnz FooAuthnz fcgi://localhost:10103/

   指定上都authnz提供商AuthBasicProvider 和Require：

   AuthType Basic
   AuthName "Restricted"
   AuthBasicProvider FooAuthnz
   Require FooAuthnz

局限性

以下是当前尚未实现的潜在功能：

Apache httpd访问检查器

Apache httpd API 访问检查阶段是与身份验证和授权分开的阶段。其他一些FastCGI实现也实现了此阶段，用FCGI_APACHE_ROLEto 的设置表示ACCESS_CHECKER。

本地（Unix）套接字或管道

当前仅支持TCP套接字。

支持mod_authn_socache

应该为参与Apache httpd样式认证的应用程序实现mod_authn_socache交互。

支持使用AuthDigestProvider进行摘要身份验证

预计这将是一个永久性的限制，因为没有用于检索哈希的授权者流程。

应用程序管理

预期这将永久超出此模块的范围。申请过程必须通过其他方式控制。例如，fcgistarter可以用来启动它们。

AP_AUTH_INTERNAL_PER_URI

当前，所有提供程序都已注册为AP_AUTH_INTERNAL_PER_CONF，这意味着不会再次对具有与初始请求相同的访问控制配置的内部子请求进行检查。

协议数据字符集转换

如果mod_authnz_fcgi在EBCDIC编译环境中运行，则所有FastCGI协议数据均写入EBCDIC中，并有望在EBCDIC中接收。

每个连接多个请求

当前，在处理的每个阶段之后都关闭与FastCGI授权者的连接。例如，如果授权者处理单独的authn和authz 阶段，则将使用两个连接。

URI映射

无法映射来自客户端的URI，例如 ProxyPass与FastCGI响应器一起使用时。

记录中

1. 处理错误记录在日志级别error 或更高级别。
2. 应用程序编写的消息在日志级别记录warn。
3. 用于调试的常规消息记录在日志级别 debug。
4. 传递给应用程序的环境变量在日志级别记录trace2。REMOTE_PASSWD变量的值 将被遮盖，但其他敏感数据将在日志中可见。
5. 模块和FastCGI应用程序之间的所有I / O（包括所有环境变量）将在日志级别以可打印和十六进制格式记录trace5。 所有敏感数据将在日志中可见。

LogLevel可用于配置特定于mod_authnz_fcgi的日志级别。例如：

LogLevel info authnz_fcgi:trace8