Настройка внешней авторизации в Apache - История изменений

Bas: /* Решение */

2014-10-24T07:01:56Z

Решение

← Предыдущая версия		Версия от 07:01, 24 октября 2014
Строка 66:		Строка 66:
	# chmod 700 /etc/apache2/oc_check_pass.php		# chmod 700 /etc/apache2/oc_check_pass.php
	</pre>		</pre>
	Активируем установленный и настроенный модуль и ~~перезапускам~~ [http://httpd.apache.org Apache]:		Активируем установленный и настроенный модуль и перезапускаем [http://httpd.apache.org Apache]:
	<pre>		<pre>
	# a2enmod authnz_external		# a2enmod authnz_external

Bas: /* Решение */

2014-10-24T07:01:28Z

Решение

← Предыдущая версия		Версия от 07:01, 24 октября 2014
Строка 41:		Строка 41:
	namespace OCP;		namespace OCP;

	require '/~~opt~~/www/owncloud/lib/base.php';		require '/var/www/owncloud/lib/base.php';
	require '/~~opt~~/www/owncloud/lib/public/user.php';		require '/var/www/owncloud/lib/public/user.php';

	$uid = trim(fgets(STDIN), "\n\r\0\x0B");		$uid = trim(fgets(STDIN), "\n\r\0\x0B");
Строка 61:		Строка 61:
	?>		?>
	</syntaxhighlight>		</syntaxhighlight>
			Ограничиваем доступ к скрипту пользователем, из-под которого работает [http://httpd.apache.org Apache]:
			<pre>
			# chown www-data:www-data /etc/apache2/oc_check_pass.php
			# chmod 700 /etc/apache2/oc_check_pass.php
			</pre>
			Активируем установленный и настроенный модуль и перезапускам [http://httpd.apache.org Apache]:
			<pre>
			# a2enmod authnz_external
			# service apache2 restart
			</pre>
	[[Category:Apache]]		[[Category:Apache]]
	[[Category:Debian]]		[[Category:Debian]]

Bas: /* Решение */

2014-10-24T06:57:58Z

Решение

← Предыдущая версия		Версия от 06:57, 24 октября 2014
Строка 44:		Строка 44:
	require '/opt/www/owncloud/lib/public/user.php';		require '/opt/www/owncloud/lib/public/user.php';

	$uid = trim(fgets(STDIN));		$uid = trim(fgets(STDIN), "\n\r\0\x0B");
	$password = trim(fgets(STDIN));		$password = trim(fgets(STDIN), "\n\r\0\x0B");

	$oc_user = new User();		$oc_user = new User();

Bas в 06:57, 24 октября 2014

2014-10-24T06:57:23Z

@@ Строка 14: / Строка 14: @@
 Модуль <code>mod-authnz-external</code> позволяет использовать внешние программы для авторизации пользователей. Если авторизатору вернуть код завершения 0, то пользователь считается авторизованным. Было решено с помощью [http://www.php.net PHP] написать скрипт. Почему [http://www.php.net PHP]? [http://www.owncloud.org OwnCloud] разработан на [http://www.php.net PHP], поэтому в скрипте достаточно будет сослаться на исходники, принять данные от пользователя и передать их компетентным органам в лице методов класса [http://www.owncloud.org OwnCloud].
 <syntaxhighlight lang="php">
 #!/usr/bin/php -q
@@ Строка 41: / Строка 60: @@
 ?>
 </syntaxhighlight>
 [[Category:Apache]]

Bas в 06:45, 24 октября 2014

2014-10-24T06:45:53Z

← Предыдущая версия		Версия от 06:45, 24 октября 2014
Строка 1:		Строка 1:
	=== Вступление ===		==== Вступление ====
	Есть один проект, который использует облачное файловое хранилище [http://www.owncloud.org OwnCloud]. Для того, чтобы пользователь мог загружать данные ему обязательно необходима учётная запись. С этим пунктом проблем не возникло. В функционале [http://www.owncloud.org OwnCloud'а] есть опции предоставления доступа между пользователями системы и предоставление доступа по уникальной ссылке. Если с доступом по логину или группе проблем с безопасностью нет, то доступ по ссылке предполагает то, что ссылка доступна всем желающим и входить в систему для этого не требуется. Вот тут и возникла проблема: хотелось сохранить функционал ссылок, но доступ предоставлять только по логину и паролю.		Есть один проект, который использует облачное файловое хранилище [http://www.owncloud.org OwnCloud]. Для того, чтобы пользователь мог загружать данные ему обязательно необходима учётная запись. С этим пунктом проблем не возникло. В функционале [http://www.owncloud.org OwnCloud'а] есть опции предоставления доступа между пользователями системы и предоставление доступа по уникальной ссылке. Если с доступом по логину или группе проблем с безопасностью нет, то доступ по ссылке предполагает то, что ссылка доступна всем желающим и входить в систему для этого не требуется. Вот тут и возникла проблема: хотелось сохранить функционал ссылок, но доступ предоставлять только по логину и паролю.

	=== Анализ ===		==== Анализ ====
	Доступ к файлам по ссылке имеет следующий вид: <code>https://owncloud.gwtools.ru/public.php?service=files&t=5627da44883053d541add981dbfea754</code>. Было решено, что с помощью web-сервера [http://httpd.apache.org Apache] мы будем ограничивать доступ к файлу <code>public.php</code>.		Доступ к файлам по ссылке имеет следующий вид: <code>https://owncloud.gwtools.ru/public.php?service=files&t=5627da44883053d541add981dbfea754</code>. Было решено, что с помощью web-сервера [http://httpd.apache.org Apache] мы будем ограничивать доступ к файлу <code>public.php</code>.

Строка 11:		Строка 11:
	* Оставался вариант найти модуль к [http://httpd.apache.org Apache], который бы позволял сделать так, как надо. Как ни странно, но модуль был найден. Встречайте: [http://code.google.com/p/mod-auth-external/ mod-authnz-external].		* Оставался вариант найти модуль к [http://httpd.apache.org Apache], который бы позволял сделать так, как надо. Как ни странно, но модуль был найден. Встречайте: [http://code.google.com/p/mod-auth-external/ mod-authnz-external].

	=== Решение ===		==== Решение ====

	Модуль <code>mod-authnz-external</code> позволяет использовать внешние программы для авторизации пользователей. Если авторизатору вернуть код завершения 0, то пользователь считается авторизованным. Было решено с помощью [http://www.php.net PHP] написать скрипт. Почему [http://www.php.net PHP]? [http://www.owncloud.org OwnCloud] разработан на [http://www.php.net PHP], поэтому в скрипте достаточно будет сослаться на исходники, принять данные от пользователя и передать их компетентным органам в лице методов класса [http://www.owncloud.org OwnCloud].		Модуль <code>mod-authnz-external</code> позволяет использовать внешние программы для авторизации пользователей. Если авторизатору вернуть код завершения 0, то пользователь считается авторизованным. Было решено с помощью [http://www.php.net PHP] написать скрипт. Почему [http://www.php.net PHP]? [http://www.owncloud.org OwnCloud] разработан на [http://www.php.net PHP], поэтому в скрипте достаточно будет сослаться на исходники, принять данные от пользователя и передать их компетентным органам в лице методов класса [http://www.owncloud.org OwnCloud].

Bas в 06:45, 24 октября 2014

2014-10-24T06:45:38Z

← Предыдущая версия		Версия от 06:45, 24 октября 2014
Строка 1:		Строка 1:
	==== Вступление ====		=== Вступление ===
	Есть один проект, который использует облачное файловое хранилище [http://www.owncloud.org OwnCloud]. Для того, чтобы пользователь мог загружать данные ему обязательно необходима учётная запись. С этим пунктом проблем не возникло. В функционале [http://www.owncloud.org OwnCloud'а] есть опции предоставления доступа между пользователями системы и предоставление доступа по уникальной ссылке. Если с доступом по логину или группе проблем с безопасностью нет, то доступ по ссылке предполагает то, что ссылка доступна всем желающим и входить в систему для этого не требуется. Вот тут и возникла проблема: хотелось сохранить функционал ссылок, но доступ предоставлять только по логину и паролю.		Есть один проект, который использует облачное файловое хранилище [http://www.owncloud.org OwnCloud]. Для того, чтобы пользователь мог загружать данные ему обязательно необходима учётная запись. С этим пунктом проблем не возникло. В функционале [http://www.owncloud.org OwnCloud'а] есть опции предоставления доступа между пользователями системы и предоставление доступа по уникальной ссылке. Если с доступом по логину или группе проблем с безопасностью нет, то доступ по ссылке предполагает то, что ссылка доступна всем желающим и входить в систему для этого не требуется. Вот тут и возникла проблема: хотелось сохранить функционал ссылок, но доступ предоставлять только по логину и паролю.

	==== Анализ ====		=== Анализ ===
	Доступ к файлам по ссылке имеет следующий вид: <code>https://owncloud.gwtools.ru/public.php?service=files&t=5627da44883053d541add981dbfea754</code>. Было решено, что с помощью web-сервера [http://httpd.apache.org Apache] мы будем ограничивать доступ к файлу <code>public.php</code>.		Доступ к файлам по ссылке имеет следующий вид: <code>https://owncloud.gwtools.ru/public.php?service=files&t=5627da44883053d541add981dbfea754</code>. Было решено, что с помощью web-сервера [http://httpd.apache.org Apache] мы будем ограничивать доступ к файлу <code>public.php</code>.

Строка 11:		Строка 11:
	* Оставался вариант найти модуль к [http://httpd.apache.org Apache], который бы позволял сделать так, как надо. Как ни странно, но модуль был найден. Встречайте: [http://code.google.com/p/mod-auth-external/ mod-authnz-external].		* Оставался вариант найти модуль к [http://httpd.apache.org Apache], который бы позволял сделать так, как надо. Как ни странно, но модуль был найден. Встречайте: [http://code.google.com/p/mod-auth-external/ mod-authnz-external].

	==== Решение ====		=== Решение ===

	Модуль <code>mod-authnz-external</code> позволяет использовать внешние программы для авторизации пользователей. Если авторизатору вернуть код завершения 0, то пользователь считается авторизованным. Было решено с помощью [http://www.php.net PHP] написать скрипт. Почему [http://www.php.net PHP]? [http://www.owncloud.org OwnCloud] разработан на [http://www.php.net PHP], поэтому в скрипте достаточно будет сослаться на исходники, принять данные от пользователя и передать их компетентным органам в лице методов класса [http://www.owncloud.org OwnCloud].		Модуль <code>mod-authnz-external</code> позволяет использовать внешние программы для авторизации пользователей. Если авторизатору вернуть код завершения 0, то пользователь считается авторизованным. Было решено с помощью [http://www.php.net PHP] написать скрипт. Почему [http://www.php.net PHP]? [http://www.owncloud.org OwnCloud] разработан на [http://www.php.net PHP], поэтому в скрипте достаточно будет сослаться на исходники, принять данные от пользователя и передать их компетентным органам в лице методов класса [http://www.owncloud.org OwnCloud].

Bas в 06:45, 24 октября 2014

2014-10-24T06:45:23Z

← Предыдущая версия		Версия от 06:45, 24 октября 2014
Строка 9:		Строка 9:
	* Вариант с отдельной базой пользователей не подходил из-за того, что пользователи могли менять пароли. Да и вообще любые изменения с пользователями в [http://www.owncloud.org OwnCloud'е] не отражались бы в файле, что добавляло бы администратору больше работы.		* Вариант с отдельной базой пользователей не подходил из-за того, что пользователи могли менять пароли. Да и вообще любые изменения с пользователями в [http://www.owncloud.org OwnCloud'е] не отражались бы в файле, что добавляло бы администратору больше работы.
	* Редактирование исходных кодов [http://www.owncloud.org OwnCloud'а] не нравилось тем, что эти изменения обязательно надо было бы подробно документировать. При обновлении обычно hand made радостно затирается любыми установщиками и быстро восстановить работоспособность, особенно через какое-то время будет сложно. Тем не менее, этот вариант рассматривался как резервный. Была найдена функция изменения пользователя, поэтому оставалось бы написать свою вставку и файл с пользователями мог бы быть актуальным. Так же можно было использовать хуки самой системы, любезно предоставленные разработчиками продукта.		* Редактирование исходных кодов [http://www.owncloud.org OwnCloud'а] не нравилось тем, что эти изменения обязательно надо было бы подробно документировать. При обновлении обычно hand made радостно затирается любыми установщиками и быстро восстановить работоспособность, особенно через какое-то время будет сложно. Тем не менее, этот вариант рассматривался как резервный. Была найдена функция изменения пользователя, поэтому оставалось бы написать свою вставку и файл с пользователями мог бы быть актуальным. Так же можно было использовать хуки самой системы, любезно предоставленные разработчиками продукта.
	* Оставался вариант найти модуль к		* Оставался вариант найти модуль к [http://httpd.apache.org Apache], который бы позволял сделать так, как надо. Как ни странно, но модуль был найден. Встречайте: [http://code.google.com/p/mod-auth-external/ mod-authnz-external].

	==== Решение ====		==== Решение ====

			Модуль <code>mod-authnz-external</code> позволяет использовать внешние программы для авторизации пользователей. Если авторизатору вернуть код завершения 0, то пользователь считается авторизованным. Было решено с помощью [http://www.php.net PHP] написать скрипт. Почему [http://www.php.net PHP]? [http://www.owncloud.org OwnCloud] разработан на [http://www.php.net PHP], поэтому в скрипте достаточно будет сослаться на исходники, принять данные от пользователя и передать их компетентным органам в лице методов класса [http://www.owncloud.org OwnCloud].
	libapache2-mod-authnz-external		libapache2-mod-authnz-external

Bas: /* Анализ */

2014-10-24T06:33:13Z

Анализ

← Предыдущая версия		Версия от 06:33, 24 октября 2014
Строка 5:		Строка 5:
	Доступ к файлам по ссылке имеет следующий вид: <code>https://owncloud.gwtools.ru/public.php?service=files&t=5627da44883053d541add981dbfea754</code>. Было решено, что с помощью web-сервера [http://httpd.apache.org Apache] мы будем ограничивать доступ к файлу <code>public.php</code>.		Доступ к файлам по ссылке имеет следующий вид: <code>https://owncloud.gwtools.ru/public.php?service=files&t=5627da44883053d541add981dbfea754</code>. Было решено, что с помощью web-сервера [http://httpd.apache.org Apache] мы будем ограничивать доступ к файлу <code>public.php</code>.

	Логично, что пользователи должны были вводить тот же логин и пароль, который им необходим для входа в [http://www.owncloud.org OwnCloud]. ~~Решение в лоб: создать такой файл~~ :~~) Тут сразу появилось куча "пунктиков".<br />~~		Логично, что пользователи должны были вводить тот же логин и пароль, который им необходим для входа в [http://www.owncloud.org OwnCloud]. Здесь возникли следующие сложности:
	~~Во-первых, при создании пользователя~~ в [http://www.owncloud.org OwnCloud'е] ~~его необходимо добавлять~~ в ~~файл. Если бы это был всего 1 или 2 пользователя~~, то ~~я бы это пережил~~, но ~~что делать, если надо будет добавлять 10, 20, 50? Те же самые проблемы возникают и~~ с ~~удалением~~ пользователей~~.<br />~~		* Пароль в [http://www.owncloud.org OwnCloud'е] хранится в зашифрованном виде, с солью, своими какими-то смещениями. Не плохо, но любые попытки прямого доступа в БД отпадают.
	Во-~~вторых~~, ~~пользователь мог~~ менять ~~свой пароль~~. Да~~, есть~~ в ~~нашем мире люди~~, ~~которые меняют пароли, присланные им по почте~~. ~~Возникает проблема синхронизации паролей между файлом и базой данных.<br />~~		* Вариант с отдельной базой пользователей не подходил из-за того, что пользователи могли менять пароли. Да и вообще любые изменения с пользователями в [http://www.owncloud.org OwnCloud'е] не отражались бы в файле, что добавляло бы администратору больше работы.
	~~В-третьих, пароль в~~ [http://www.owncloud.org OwnCloud'е] ~~хранится в зашифрованном виде~~, ~~с солью~~, ~~своими какими~~-то ~~смещениями~~. ~~Не плохо~~, но вариант ~~с экспортом пользователей в обычный~~ файл с ~~<code>Basic</code> авторизацией не подходил~~.		* Редактирование исходных кодов [http://www.owncloud.org OwnCloud'а] не нравилось тем, что эти изменения обязательно надо было бы подробно документировать. При обновлении обычно hand made радостно затирается любыми установщиками и быстро восстановить работоспособность, особенно через какое-то время будет сложно. Тем не менее, этот вариант рассматривался как резервный. Была найдена функция изменения пользователя, поэтому оставалось бы написать свою вставку и файл с пользователями мог бы быть актуальным. Так же можно было использовать хуки самой системы, любезно предоставленные разработчиками продукта.
			* Оставался вариант найти модуль к

	==== Решение ====		==== Решение ====

Bas в 05:37, 24 октября 2014

2014-10-24T05:37:48Z

← Предыдущая версия		Версия от 05:37, 24 октября 2014
Строка 1:		Строка 1:
	==== Вступление ====		==== Вступление ====
	Есть один проект, который использует облачное файловое хранилище [http://www.owncloud.org OwnCloud]. Для того, чтобы пользователь мог загружать данные ему обязательно необходима учётная запись. С этим пунктом проблем не возникло. В функционале [http://www.owncloud.org OwnCloud]'а есть опции предоставления доступа между пользователями системы и предоставление доступа по уникальной ссылке. Если с доступом по логину или группе проблем с безопасностью нет, то доступ по ссылке предполагает то, что ссылка доступна всем желающим и входить в систему для этого не требуется. Вот тут и возникла проблема: хотелось сохранить функционал ссылок, но доступ предоставлять только по логину и паролю.		Есть один проект, который использует облачное файловое хранилище [http://www.owncloud.org OwnCloud]. Для того, чтобы пользователь мог загружать данные ему обязательно необходима учётная запись. С этим пунктом проблем не возникло. В функционале [http://www.owncloud.org OwnCloud'а] есть опции предоставления доступа между пользователями системы и предоставление доступа по уникальной ссылке. Если с доступом по логину или группе проблем с безопасностью нет, то доступ по ссылке предполагает то, что ссылка доступна всем желающим и входить в систему для этого не требуется. Вот тут и возникла проблема: хотелось сохранить функционал ссылок, но доступ предоставлять только по логину и паролю.

	==== Анализ ====		==== Анализ ====
Строка 6:		Строка 6:

	Логично, что пользователи должны были вводить тот же логин и пароль, который им необходим для входа в [http://www.owncloud.org OwnCloud]. Решение в лоб: создать такой файл :) Тут сразу появилось куча "пунктиков".<br />		Логично, что пользователи должны были вводить тот же логин и пароль, который им необходим для входа в [http://www.owncloud.org OwnCloud]. Решение в лоб: создать такой файл :) Тут сразу появилось куча "пунктиков".<br />
	Во-первых, при создании пользователя в [http://www.owncloud.org OwnCloud]'е его необходимо добавлять в файл. Если бы это был всего 1 или 2 пользователя, то я бы это пережил, но что делать, если надо будет добавлять 10, 20, 50? Те же самые проблемы возникают и с удалением пользователей.<br />		Во-первых, при создании пользователя в [http://www.owncloud.org OwnCloud'е] его необходимо добавлять в файл. Если бы это был всего 1 или 2 пользователя, то я бы это пережил, но что делать, если надо будет добавлять 10, 20, 50? Те же самые проблемы возникают и с удалением пользователей.<br />
	Во-вторых, пользователь мог менять свой пароль. Да, есть в нашем мире люди, которые меняют пароли, присланные им по почте. Возникает проблема синхронизации паролей между файлом и базой данных.<br />		Во-вторых, пользователь мог менять свой пароль. Да, есть в нашем мире люди, которые меняют пароли, присланные им по почте. Возникает проблема синхронизации паролей между файлом и базой данных.<br />
	В-третьих, пароль в [http://www.owncloud.org OwnCloud]'е хранится в зашифрованном виде, с солью, своими какими-то смещениями. Не плохо, но вариант с экспортом пользователей в обычный файл с <code>Basic</code> авторизацией не подходил.		В-третьих, пароль в [http://www.owncloud.org OwnCloud'е] хранится в зашифрованном виде, с солью, своими какими-то смещениями. Не плохо, но вариант с экспортом пользователей в обычный файл с <code>Basic</code> авторизацией не подходил.

Bas в 05:17, 24 октября 2014

2014-10-24T05:17:31Z

← Предыдущая версия		Версия от 05:17, 24 октября 2014
Строка 15:		Строка 15:
	libapache2-mod-authnz-external		libapache2-mod-authnz-external

			<syntaxhighlight lang="php">
	#!/usr/bin/php -q		#!/usr/bin/php -q
	<?php		<?php
Строка 40:		Строка 40:

	?>		?>
			</syntaxhighlight>

			<syntaxhighlight lang="apache">

	<Files "public.php">		<Files "public.php">
	~~<------><------>~~AuthType Basic		AuthType Basic
	~~<------><------>~~AuthName "Enter Login and Password for download"		AuthName "Enter Login and Password for download"
	~~<------><------>~~AuthBasicProvider external		AuthBasicProvider external
	~~<------><------>~~Require valid-user		Require valid-user
	~~<------><------>~~AuthExternal oc_check_pass		AuthExternal oc_check_pass
	~~<------>~~</Files>		</Files>

	~~<------>~~AddExternalAuth oc_check_pass /etc/apache2/oc_check_pass.php		AddExternalAuth oc_check_pass /etc/apache2/oc_check_pass.php
	~~<------>~~SetExternalAuthMethod oc_check_pass pipe		SetExternalAuthMethod oc_check_pass pipe
			</syntaxhighlight>
	[[Category:Apache]]		[[Category:Apache]]
	[[Category:Debian]]		[[Category:Debian]]