手册不清楚如何实现它(它假设你已经知道你到底在做什么，在某些情况下感觉像是事后才想到的)，我一直在挠头试图弄清楚出来。

问题:通过所有 API 请求的 HTTP 身份验证 header 进行身份验证

就我能够测试的而言，我可以在 CakePHP 中使用基本身份验证和基于普通表单的登录，但是只能首先点击 login我在 Auth 组件中定义的操作。当我直接访问网站时这很好，并且按预期工作(除了 Digest，它似乎完全错误)。但是，通过 cURL，除非我已经登录，否则我运气不好。

显然，对于 API 来说，这远非理想。我不想在执行我想做的事情之前向 /login 发送请求，而且我不能指望用户手动登录，所以 Cake 有一个 cookie 可以读取。它需要是无状态的。

任何尝试提供身份验证凭据以及我发出的每个请求(通过 cURL)都会被忽略，并且我得到 403 错误返回。 login 方法或任何 Auth 类都没有被触及。

我需要做什么才能让 Cake 像一个实际的 API 一样运行并允许我在每个请求的基础上进行无状态授权？我是否必须推出自己的解决方案？

最佳答案

我有一个集中式 API，允许通过 HTTP 摘要进行用户身份验证，并要求用户登录才能使用许多与用户相关的功能。 CakePHP 强制登录的方式是检查操作是否需要登录，重定向到您的登录操作(默认为/users/login)，然后您可以重定向回来。

我通过执行以下操作创建了我的 API:

//Config/routes.php
///////////////////////////
/**
 * Users Controller routes for REST API 
 */
    Router::mapResources('users');
/**
 * Parses extensions for data serialization 
 */
    Router::parseExtensions();

//Controller/UserController.php
////////////////////////////////
<?php

App::uses('DigestAuthenticate', 'Controller/Component/Auth/');

class UsersController extends AppController {

    var $name = 'Users';

    //Login callback
    function login() {
        //dont render for login, just a call back for auth
        $this->autoRender = false;

        if ($this->Auth->login()) {
            $this->redirect($this->Auth->redirect());
        }
    }

    //GET /users.[xml|json]
    //this is the basic call that tests user authentication
    //basically a login then echo
    function index() {
        if ($this->Auth->login()) {
            $user = $this->Auth->user();

            $this->User->id = $user['id'];
            $this->User->saveField('last_login', date('Y-m-d H:i:s'));

            $this->set('response', array(
                'response' => array(
                    'code' => 'users_auth_success',
                    'message' => 'User has passed authentication',
                    'data' => $user
                )
            ));
            //will serialize to xml or json based on extension
            $this->set('_serialize', 'response');
        } 
    }
}

?>

然后您可以像这样使用此 API:

$c = curl_init($uri . '.' . $this->_format);

curl_setopt($c, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($c, CURLOPT_USERPWD, $login['user'] . ':' . $login['pass']);
curl_setopt($c, CURLOPT_HTTPAUTH, CURLAUTH_DIGEST);
curl_setopt($c, CURLOPT_SSL_VERIFYPEER, false);
curl_setopt($c, CURLOPT_FOLLOWLOCATION, true);

$response = curl_exec($c);
$info = curl_getinfo($c);

curl_close($c);

if($info['http_code'] == $this->_http_codes['OK']) {
    //success
    if($this->_format == 'xml')
        $response = Xml::toArray(Xml::build($response));
    else//JSON
        $response = json_decode($response);
        return $response['response']['data'];
} else if($info['http_code'] == $this->_http_codes['Unauthorized']) {
    return false;
} else {
    return null;
}

关于php - CakePHP 2.0 中是否可以按请求进行无状态 HTTP Basic/Digest 身份验证？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/9042020/