Как организовать NTLM авторизацию в домене через PHP, при этом не спрашивая у пользователя его данные.
-
Абсолютно с вами не согласен, это умеет делать ASP.NET на IIS, также это умеет делать Sharepoint. С этим точно работают браузеры IE и FF, возможно работает Opera. На похожем принципе работают шлюзы во многих корпоративных сетях (хотя возможно на несколько отличающемся способе). Более того технология точнее называется NTLM over HTTP. Я бы не спрашивал не зная что это возможно в принципе. Единственное что мне пока не удалось находится в моем вопросе.– Сергей28 янв 2011 в 11:44
-
2Хм, да, был не прав… Копнул сейчас поглубже в Майкрософтовские описания. Сейчас практически все браузеры поддерживают эту фишку. Только тут ситуация вот какая: авторизация-то происходит на уровне протокола HTTP, стало быть, ею занимается веб-сервер, а не Ваш PHP-скрипт. Так что это, видимо, вопрос по настройка веб-сервера.– kirelagin28 янв 2011 в 12:08
-
Не согласен. В ASP.NET можно реализовать авторизацию своими руками т.е. в поверх веб-сервера. Кроме того авторизация через куки, например, тоже задействует протокол HTTP, но обычно же не веб-сервер лезет в базу за проверкой а PHP скрипт.– Сергей28 янв 2011 в 13:22
-
Скорее всего, это связано с тем, что IIS делегирует проверку подлинности выбранному скрипту. Если Вы это будете использовать только с IIS, то проблем никаких не будет. Но если попытаться эту же штуку развернуть под Апачем, можно нарваться на неприятности.– kirelagin28 янв 2011 в 13:54
-
1Там вообще нет ответа :). Это тот же автор вопроса просто приводит ссылки на соответствующие модули от Апача, чтобы, если кто-то возьмётся за разработку, им было проще.– kirelagin28 янв 2011 в 14:28
2 ответа
nginx не поддерживает авторизацию в AD. Вот есть фичреквест, но он, вроде как, заглох…
Соответственно, Вам надо делегировать авторизацию своему скрипту. Вот здесь учат, как это сделать. Остаётся только подключиться из пхп-скрипта к серверу AD, например, так или любой ldap-библиотечкой.
-
-
-
Ох, только, боюсь, тут Вы опять упрётесь в невозможность авторизовать человека, теперь уже на уровне пхп… Поскольку Вам же надо будет этим php-скриптом произвести http-авторизацию (чтобы браузер догадался отправить AD-credentials). А эту http-авторизацию опять должен произвести веб-сервер! В таком случае Вас спасёт только поднятие отдельного веб-сервера (например, Апача) специально для проведения этой авторизации. 28 янв 2011 в 15:37
А есть вот так? О_о
$headers = apache_request_headers(); // получаем все заголовки клиента
if (!isset($headers['Authorization'])) { // если заголовка авторизации нет
header('HTTP/1.1 401 Unauthorized'); // требуем от клиента авторизации
header('WWW-Authenticate: NTLM'); // тип требуемой авторизации - NTLM
exit; // завершаем выполнение скрипта
}
// заголовок авторизации от клиента пришёл
if (substr($headers['Authorization'],0,5) == 'NTLM ') { // проверяем, что это NTLM-аутентификация
$chain = base64_decode(substr($headers['Authorization'],5)); // получаем декодированное значение
switch (ord($chain{8})) { // смотрим номер этапа процесса идентификации
case 3: // этап 5 - приём сообщения type-3
foreach (array('LM_resp','NT_resp','domain','user','host') as $k=>$v) {
extract(unpack('vlength/voffset',substr($chain,$k*8+14,4)));
$val = substr($chain,$offset,$length);
echo "$v: ".($k<2 ? hex_dump($val) : iconv('UTF-16LE','CP1251',$val))."<br>\r\n";
}
exit;
case 1: // этап 3 (тут было == 0xB2, я исправил на 130). 178 -> B2 или 130 -> 82
// 0x82 возвращают мозилла и опера при обычном вводе руками, а 0xB2 возвращает IE при параметре "исользовать текущие логин и пароль"
if (ord($chain{13}) == 0x82||ord($chain{13}) == 0xB2) { // проверяем признак NTLM 0x82 по смещению 13 в сообщении type-1:
$chain = "NTLMSSP\x00".// протокол
"\x02" /* номер этапа */ ."\x00\x00\x00\x00\x00\x00\x00".
"\x28\x00" /* общая длина сообщения */ ."\x00\x00".
"\x01\x82" /* признак */ ."\x00\x00".
"\x00\x02\x02\x02\x00\x00\x00\x00". // nonce
"\x00\x00\x00\x00\x00\x00\x00\x00";
header('HTTP/1.1 401 Unauthorized');
header('WWW-Authenticate: NTLM '.base64_encode($chain)); // отправляем сообщение type-2
exit;
}
}
}
function hex_dump($str){ // вспомогательная функция, возвращает шестнадцатеричный дамп строки
return substr(preg_replace('#.#se','sprintf("%02x ",ord("$0"))',$str),0,-1);
}
?>
Ваш интернет-обозреватель или используемый прокси-сервер несовместим с NTLM, используйте IE... Спасибо
-
если честно там порой забавно, например пока отлаживал этот скрипт на какой то фазе мелькало даже имя моей рабочей группы workgroup в выводе на экран, но в итоге (домена то у меня нету) дает пустую строку, далее имя и имя компьютера как положено 27 апр 2012 в 23:57
-
фурс антон спасибо. php код рабочий, спас много моего времени. Главное оно корректно работает с русскими фамилия из домена 25 мая 2015 в 9:15
-