我有一个 nginx 网络服务器，使用 php-fpm 执行脚本，我想获取浏览服务器的客户端的 NTLMv2 凭据。我在我的本地网络中有一个代理服务器来验证我的用户。问题是，如何让 nginx 服务器进行身份验证，或者 PHP 使用 NTLMv2 获取我的用户的凭据并向我传回信息？显然，我至少需要知道他们的用户名，以确保客户端在系统中获得正确的凭据。

例如，当我访问/login.php 时，我可以与代理服务器建立上游连接，只要它将有关客户端的信息传回有关客户端的服务器，例如用户名在 Type-3 消息中找到，然后我可以将此信息保存在他们的 session 中并从那时起使用它。

我有一台在局域网内运行 nginx、PHP 和 SQLite 的 Linux 服务器。连接到此服务器的计算机都是基于 Windows 的，使用 Windows 登录到网络。登录使用 NTLMv2 身份验证并通过代理访问网络外部的网站，所有客户端都必须通过代理才能连接到外部 Web。我想要做的是使用 NTLMv2 身份验证信息登录 LAN Web 服务器。对我如何做到这一点有什么建议吗？

最佳答案

我认为完成类似任务的最简单方法是在 nginx 服务器上模拟 NTLMv2 身份验证，将请求重定向到代理并检查答案。 我无法重现你的设置，所以下面的代码没有经过测试，但它应该可以工作或者应该会给你一些帮助。

<?php
$headers = getallheaders() //Equivalent to apache_request_headers() to get the headers of the request.

if(!isset($headers['Authorization'])) //Check Authorization Header
{
    header('HTTP/1.1 401 Unauthorized'); //Return Unauthorized Http-Header (NTLM protocol)
    header('WWW-Authenticate: NTLM'); //Authenticcation Information (NTLM protocol)
}
else
{
    if(substr($headers['Authorization'],0,4) == 'NTLM') //Check whether Authorization Header is valid
    {
        $message = base64_decode(substr($headers['Authorization'], 5)) //Get NTLM Message from Authrization header
        if(substr($message, 0, 8) == "NTLMSSP\x00") //Check whether NTLM Message is valid
        {
            if($message[8] == "\x01") //Check whether it's type-1-NTLM Message
            {
                //$message holds the base64 encoded type-1-NTLM message
                $ch = curl_init(); //Use cURL to connect to web via proxy
                curl_setopt($ch, CURLOPT_URL, "http://www.google.com");
                curl_setopt($ch, CURLOPT_HTTPHEADER, array('Authorization: '.$headers['Authorization']));
                curl_setopt($ch, CURLOPT_PROXY, <Your Proxy Adress>);
                curl_setopt($ch, CURLOPT_PROXYPORT, <Your Proxy Port>);
                curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
                $result = curl_exec($ch);
                $info = curl_getinfo($ch);
                curl_close($ch);
                $header = substr($result, 0, $info['header_size']);
                $body = substr($result, $info['header_size'], $info['download_content_length']-$info['header_size']);
                $c_headers = explode("\r\n", $header);
                for($i = 0; $i < (count($c_headers) - 2); $i++)
                {
                    header($c_headers[$i]);
                    if(substr($c_headers[$i], 0, 16) == "WWW-Authenticate")
                    {
                        //Thats your type-2-message header Format: WWW-Authenticate: NTLM <base64-type-2-message>
                    }
                }
            }
            else if ($message[8] == "\x03") //Check whether it's type-3-NTLM Message
            {
                $ch = curl_init(); //Use cURL to connect to web via proxy 
                curl_setopt($ch, CURLOPT_URL, "http://www.google.com");
                curl_setopt($ch, CURLOPT_HTTPHEADER, array('Authorization: '.$headers['Authorization']));
                curl_setopt($ch, CURLOPT_PROXY, <Your Proxy Adress>);
                curl_setopt($ch, CURLOPT_PROXYPORT, <Your Proxy Port>);
                $result = curl_exec($ch);
                $info = curl_getinfo($ch);
                curl_close($ch);
                if($info['CURLINFO_HTTP_CODE'] == 200)
                {
                    //Authenticated
                    //$msg holds the base64 encoded type-3-NTLM message (which includes username, domain, workstation)
                }
            }
        }
    }
}?>

我使用了 NTLM 协议(protocol)的引用:http://davenport.sourceforge.net/ntlm.html

希望对您有所帮助。欢迎发表评论。

关于使用 NTLMv2 的 PHP 单点登录，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/16008765/