Autoryzacja - ale bez okienka: WWW-Authenticate Opcje

[sniver]

Być może to będzie dla wielu proste, ale mi moja kreatywność sie skończyła gdy nie znalazłem nic w Google, manualu i na forum...

Sprawa wygląda następująco..

Jest sobie zwyczajny, ładnie ostylowany formularz logowania z polem login i hasło. No i powiedzmy tyle tego co musi być (IMG:style_emoticons/default/smile.gif)

Dotychczas wykorzystywałem mechanizm sesji - i tu nie mam nic przeciwko, ale muszę dodatkowo dodać autoryzacje a konkretnie to zapamiętywanie że ktoś sie zalogował, ale tak by to przetrzymać w tym mechanizmie autoryzacji WWW.

[PHP] pobierz, plaintext 
<?php
 
$login = "admin"; // tu wpisz swój login
$password = "pass"; // a tu swoje hasło
 
(IMG:style_emoticons/default/questionmark.gif) (IMG:style_emoticons/default/questionmark.gif) (IMG:style_emoticons/default/questionmark.gif) ?
(IMG:style_emoticons/default/questionmark.gif) (IMG:style_emoticons/default/questionmark.gif) (IMG:style_emoticons/default/questionmark.gif) ?
(IMG:style_emoticons/default/questionmark.gif) (IMG:style_emoticons/default/questionmark.gif) (IMG:style_emoticons/default/questionmark.gif) ?
 
if( !isset($_SERVER['PHP_AUTH_USER']) or strcmp($_SERVER['PHP_AUTH_USER'],$login) or strcmp($_SERVER['PHP_AUTH_PW'],$password) ) {
   // Formulaz logowania
} else {
   // User sie zalogowal i różne rzeczy sie dzieją..
}
 
?>
[PHP] pobierz, plaintext 

No i powiedzmy że tak to mniej więcej powinno działać. Ale nie chcę ani wyskakującego okienka autoryzacyjnego.
Wiem że da się to zrobić - ale niestety jak zwykle nie wiem jak.

Z góry dzięki za pomoc!

Powód edycji: [blooregard]: Dodałem BBCode, proszę o tym pamiętać na przyszłość

[zegarek84]

Ale doszliśmy do porozumienia, że serwer A jest tutaj kluczowy?? coś jak serwer "matka"??

Informacji potrzebujesz tylko w kluczowych sytuacjach... jak dla mnie najwygodniej będzie tak jak napomniałem poprzez DHTML (duży minus, iż nie zadziała przy wyłączonym javascript)...

jak ja to widzę(IMG:style_emoticons/default/questionmark.gif) ... zacznijmy od tego, że akurat ten jeden przynajmniej skrypt nie może być buforowany (najprostsze rozwiązanie to dorzucić do get jeszcze timestap co sprawi, iż link zawsze będzie inny)

na serwerze A masz jakiś pliczek generowany dynamicznie tak jak stronę [proponuję ten adres przepisać w .htaccess coby końcówka wyglądała na *.js a nie *.php) - po stronie serwera nie problem sprawdzić, czy zalogowany czy nie na podstawie identyfikatora sesji będącego w cookies serwera A...
więc generujesz na serwerze B:
http://serwerA/sprawdz_delikwenta.js?timestap=1283423243bleble [timestap do niczego Ci nie służy (IMG:style_emoticons/default/winksmiley.jpg) ]

ten pliczek jest załączany na stronie wygenerowanej z serwera B i skryptami javascripti sprawdzasz wynik [w powyższym skrypcie przesyłasz informacje jawne potrzebne do dalszego transferu danych jeśli jest zalogowane takie jak np. nick]....

i dalej skryptami js robisz swoje wyświetlając zapytania i inne odpytując serwer A i serwer B przez DHTML...

gdy już jest potwierdzone, że uzy_szkodnik chce zaimportować konto coby to było bezpieczniejsze (a nie ktoś się podszył) przy imporcie danych na serwer B z serwera A [komunikacja bezpośrednia pomijając przeglądarkę] pobierz także podstawowe dane sesji jak np. nagłówki samej przeglądarki oraz IP i jeśli się różnią to danych zaimportowanych nie wykorzystujesz, jeśli potwierdziłeś zgodność kończysz importowanie (to tylko algorytm taki daję)

jest jeszcze rozwiązanie (algorytm) na zrobienie tego bez javascript jednak chyba nie ma co o nim pisać bo były by z 2 redirekty (niby też nie trzeba by nic klikać) - ale sama idea jest podobna jak ta co opisałem powyżej...

[edit] w pliku js możesz jeszcze dla zalogowanego uzyszkodnika podać jako jedną z wartości zmiennych identyfikator sesji z serwera A jako kolejny np. czynnik "identyfikujący" - źle nazwane - to wysylając dane z serwera A do B przy komunikacji bezpośredniej mając to podajesz dane osoby z tym identyfikatorem sesji (tą wartość przy wysyłaniu informacji na serwerze A sprawdzić możesz jako ciągłość sesji, a na serwerze B porównać pozostałe czy czasem jakimś sposobem passkeya nie skopiowali)...

Ten post edytował zegarek84 23.04.2010, 11:48:35