PHP身份认证服务

2024-03-11 76

PHP身份认证服务可以使用Radius软件包来实现。该软件包基于FreeBSD的libradius，允许客户端通过向远程服务器发出网络请求来执行身份验证和记账。同时，PECL扩展为Radius身份验证（RFC 2865）和Radius会计（RFC 2866）提供了全面支持。该软件包适用于Unix系统，已经在FreeBSD和Linux上进行了测试，同时也支持Windows操作系统。

一、预定义常量

1、RADIUS选项

有几个 RADIUS 函数接受选项标志作为位掩码，下面列出了代表这些标志的常量：

RADIUS_OPTION_SALT （int）：设置该选项后，属性值将被盐加密；
RADIUS_OPTION_TAGGED (int)：设置该选项后，属性值将被标记为标签参数的值。

2、RADIUS数据包类型

RADIUS 数据包（无论是请求还是响应）始终包含一种类型。这些提供常量是为了在使用radius_create_request（）和比较 radius_send_request（）的结果时更容易指定类型；
RADIUS_ACCESS_REQUEST （int)：访问请求，用于针对 RADIUS 服务器对用户进行身份验证。访问请求数据包必须包含RADIUS_NAS_IP_ADDRESS或RADIUS_NAS_IDENTIFIER属性，还必须包含RADIUS_USER_PASSWORD、RADIUS_CHAP_PASSWORD或RADIUS_STATE属性，并且应包含RADIUS_USER_NAME属性；
RADIUS_ACCESS_ACCEPT （int)：对 Access-Request 的 Access-Accept 响应，指示 RADIUS 服务器已成功对用户进行身份验证；
RADIUS_ACCESS_REJECT （int)：对 Access-Request 的 Access-Reject 响应，指示 RADIUS 服务器无法对用户进行身份验证；
RADIUS_ACCESS_CHALLENGE （int)：对 Access-Request 的 Access-Challenge 响应，指示 RADIUS 服务器需要在另一个访问请求中提供更多信息在对用户进行身份验证之前；
RADIUS_ACCOUNTING_REQUEST （int)：会计请求，用于传达会计信息服务到 RADIUS 服务器；
RADIUS_ACCOUNTING_RESPONSE （int)：对 Accounting-Request 的 Accounting-Response 响应；
RADIUS_COA_REQUEST （int)：CoA 请求，从 RADIUS 服务器发送，以指示用户会话中的授权已更改。响应必须是以 CoA-ACK 或 CoA-NAK 的形式发送。此常量在 PECL radius 1.3.0 及更高版本中可用；
RADIUS_COA_ACK （int)：发送到 RADIUS 服务器的 CoA-ACK，以指示用户授权已更新。此常量在 PECL radius 1.3.0 及更高版本中可用；
RADIUS_COA_NAK （int)：发送到 RADIUS 服务器以指示用户的 CoA-NAK 无法更新授权。此常量在 PECL radius 1.3.0 及更高版本中可用；
RADIUS_DISCONNECT_REQUEST （int)：从 RADIUS 服务器发送的 Disconnect-Request，用于指示必须终止用户会话。此常量在 PECL radius 1.3.0 及更高版本中可用；
RADIUS_DISCONNECT_ACK （int)：Disconnect-ACK，发送到 RADIUS 服务器以指示用户会话已终止。此常量在 PECL radius 1.3.0 及更高版本中可用；
RADIUS_DISCONNECT_NAK （int)：发送到 RADIUS 服务器的 Disconnect-NAK，以指示用户会话无法终止。此常量在 PECL radius 1.3.0 及更高版本中可用。

3、RADIUS属性类型

这些常量定义可与 radius_put_addr（）、radius_put_attr（）、radius_put_int（）和 radius_put_string（）一起使用的 RADIUS 属性类型；
RADIUS_USER_NAME （int)：User-Name 属性。属性值应为包含要进行身份验证的用户的名称的字符串，并且可以使用 radius_put_attr（）进行设置；
RADIUS_USER_PASSWORD （int)：User-Password 属性。属性值应为包含用户密码的字符串，可以使用 radius_put_attr（）进行设置；
RADIUS_CHAP_PASSWORD （int)：Chap-Password 属性。属性值应为第一个字节包含 CHAP 标识符的字符串，以及随后的 16 个字节，其中包含 CHAP 的 MD5 哈希值 identifier、明文密码和 CHAP 质询值连接在一起。请注意，CHAP 质询值也应为在 RADIUS_CHAP_CHALLENGE 属性中单独发送；

示例：Using CHAP passwords

<?php
// Firstly, we'll create an authentication handle and request.
$radh = radius_auth_open();
radius_add_server($radh, $server, $port, $secret, 3, 3);
radius_create_request($radh, RADIUS_ACCESS_REQUEST);

// Assuming $password contains the plaintext password, we now:

// Generate a challenge.
$challenge = mt_rand();

// Specify a CHAP identifier.
$ident = 1;

// Add the Chap-Password attribute.
$cp = md5(pack('Ca*', $ident, $password.$challenge), true);
radius_put_attr($radh, RADIUS_CHAP_PASSWORD, pack('C', $ident).$cp);

// Add the Chap-Challenge attribute.
radius_put_attr($radh, RADIUS_CHAP_CHALLENGE, $challenge);

/* From here, you would add the remaining attributes and
 * call radius_send_request(). */
?>

RADIUS_NAS_IP_ADDRESS （int)：NAS-IP-Address 属性。属性值应为 IP 编码为 int 的 RADIUS 客户端的地址，其中可以使用 radius_put_addr（）进行设置；
RADIUS_NAS_PORT （int)：NAS-Port 属性。属性值应为用户在 RADIUS 客户端上的物理端口编码为 int，可以使用 radius_put_int（）进行设置；
RADIUS_SERVICE_TYPE （int)：Service-Type 属性。属性值指示服务键入用户请求的类型，并且应为 int，可以使用 radius_put_int（）进行设置；

提供了许多常量来表示此属性。它们包括：

RADIUS_LOGIN
RADIUS_FRAMED
RADIUS_CALLBACK_LOGIN
RADIUS_CALLBACK_FRAMED
RADIUS_OUTBOUND
RADIUS_ADMINISTRATIVE
RADIUS_NAS_PROMPT
RADIUS_AUTHENTICATE_ONLY
RADIUS_CALLBACK_NAS_PROMPT

RADIUS_FRAMED_PROTOCOL （int)：Framed-Protocol 属性。属性值应为 int，指示要用于 framed 的帧 access，并且可以使用 radius_put_int（）进行设置。这可能的属性值包括以下常量：

RADIUS_PPP
RADIUS_SLIP
RADIUS_ARAP
RADIUS_GANDALF
RADIUS_XYLOGICS

RADIUS_FRAMED_IP_ADDRESS （int)：Framed-IP-Address 属性。属性值应为编码为 int 的用户网络地址，可以使用 radius_put_addr（）和使用 radius_cvt_addr（）检索；
RADIUS_FRAMED_IP_NETMASK （int)：Framed-IP-Netmask 属性。属性值应为编码为 int 的用户网络的网络掩码，可以使用 radius_put_addr（）和使用 radius_cvt_addr（）检索；
RADIUS_FRAMED_ROUTING （int)：Framed-Routing 属性。属性值应为指示用户的路由方法的 int，该可以使用 radius_put_int（）进行设置。

可能的值包括：

0：无路由
1：发送路由数据包
2：侦听路由数据包
3：发送和收听

RADIUS_FILTER_ID （int)：Filter-ID 属性。属性值应为特定于实现的、人类可读的过滤器字符串，可以使用 radius_put_attr（）进行设置；
RADIUS_FRAMED_MTU （int)：Framed-MTU 属性。属性值应为 int，指示要为用户配置的 MTU，并且可以使用 radius_put_int（）进行设置；
RADIUS_FRAMED_COMPRESSION （int)：Framed-Compression 属性。属性值应为一个 int 表示要使用的压缩协议，并且可以使用 radius_put_int（）进行设置。可能值包括以下常量：

RADIUS_COMP_NONE：无压缩
RADIUS_COMP_VJ：VJ TCP/IP 报头压缩
RADIUS_COMP_IPXHDR：IPX 标头压缩
RADIUS_COMP_STAC_LZS： Stac-LZS 压缩（在 PECL 半径 1.3.0b2 中添加）

RADIUS_LOGIN_IP_HOST （int)：Login-IP-Host 属性。属性值应为 IP 将用户连接到的地址，编码为 int，可以使用 radius_put_addr（）进行设置；
RADIUS_LOGIN_SERVICE （int)：Login-Service 属性。属性值是一个 int，指示要将用户连接到的服务 on 登录主机。该值可以通过 radius_cvt_int（）转换为 PHP 整数；
RADIUS_LOGIN_TCP_PORT （int)：Login-TCP-Port 属性。属性值是一个 int，指示要将用户连接到的端口登录主机。该值可以通过 radius_cvt_int（）转换为 PHP 整数；
RADIUS_REPLY_MESSAGE （int)：Reply-Message 属性。属性值是一个字符串，其中包含可在对访问请求的响应；
RADIUS_CALLBACK_NUMBER （int)：Callback-Number 属性。属性值是一个字符串，其中包含要用于回调的拨号字符串；
RADIUS_CALLBACK_ID （int)：Callback-Id 属性。属性值是一个字符串，其中包含要调用的位置的特定于实现的名称；
RADIUS_FRAMED_ROUTE （int)：Framed-Route 属性。属性值是一个字符串，其中包含要为其配置的一组特定于实现的路由用户；
RADIUS_FRAMED_IPX_NETWORK （int)：Framed-IPX-Network 属性。属性值是一个 int，其中包含要为 user，或指示 RADIUS 客户端应选择网络，并可通过 radius_cvt_int（）访问；
RADIUS_STATE （int)：State 属性。属性值是来自服务器的 Access-Challenge 中包含的实现定义的字符串，该字符串必须包含在后续的访问请求中，并且可以使用 radius_put_attr（）进行设置；
RADIUS_CLASS （int)：Class 属性。属性值是包含在 Access-Accept 消息中的任意字符串，该字符串应然后在 Accounting-Request 消息中发送到记帐服务器，并且可以使用 radius_put_attr（）进行设置；
RADIUS_VENDOR_SPECIFIC （int)：特定于供应商的属性。通常，供应商属性值应使用 radius_put_vendor_addr（）、radius_put_vendor_attr（）、radius_put_vendor_int（）和 radius_put_vendor_string（）进行设置，而不是直接设置；此常量在解释特定于供应商时最有用来自 RADIUS 服务器的响应中的属性;当供应商特定时属性，则应使用 radius_get_vendor_attr（）函数来访问供应商 ID、属性类型和属性值。
RADIUS_SESSION_TIMEOUT （int)：会话超时；
RADIUS_IDLE_TIMEOUT （int)：空闲超时；
RADIUS_TERMINATION_ACTION （int)：终止操作；
RADIUS_CALLED_STATION_ID （int)：被叫站 ID；
RADIUS_CALLING_STATION_ID （int)：呼叫站 ID；
RADIUS_NAS_IDENTIFIER （int)：NAS ID；
RADIUS_PROXY_STATE （int)：代理状态；
RADIUS_LOGIN_LAT_SERVICE （int)：登录LAT服务；
RADIUS_LOGIN_LAT_NODE （int)：登录 LAT 节点；
RADIUS_LOGIN_LAT_GROUP （int)：登录 LAT 组；
RADIUS_FRAMED_APPLETALK_LINK （int)：带框的 Appletalk 链接；
RADIUS_FRAMED_APPLETALK_NETWORK （int)：框架 Appletalk 网络；
RADIUS_FRAMED_APPLETALK_ZONE （int)：带框的Appletalk专区；
RADIUS_CHAP_CHALLENGE （int)：挑战；
RADIUS_NAS_PORT_TYPE （int)：NAS端口类型，其中一种：