Posted By: Filo (Neci Cerne svedomi) on 'CZwww'
Title:     Re: pouzivat autentizaci ?
Date:      Mon Apr 15 21:01:16 2002

> -------------
> Princip NENI v tom, KDO a KDY posle HTTP 401 Not Authorized, ale o tom, ze 
> kdyz ti nekdo vyhodi tuhle hlavicku, vetsina browseru zareaguje tak, ze se 
> snazi protlacit Basic autentifikaci. Bohuzel nejaky *beep* clovek napsal 
> pseudoautentifikacni knihovnu do PHP, na kterou se vrhlo mraky lidi (tusim
> je 
> dokonce v nejake zakladni instalaci). No a ted mame na webu mraky webu,
> ktere 
> autentifikuji uzivatele nestandardne - coz napriklad ztezuje praci ruznych 
> proxy systemu nebo content level switchu.
> V ASpckach se taky naslo par dobraku, kteri to spachali podobne. NASTESTI v 
> defaultni instalaci zadny takovy bazmek neni, takze vetsina webu nad ASP 
> tyhle veci nepouziva. 
> Nicmene muj e-mail nemel byt a nebyl hodnocenim PHP. Na to bych si vybral 
> mnohem zavaznejsi problemy, ktery tenhle engine ma. 
> --------------

*** Hmm.. no zube.. mam pocit, ze tady strilis trochu zbytecne, resp mimo. 
Rikat, ze autentifikace resena jinak nez pres HTTP protokol je spatne je jako 
rikat "drogy jsou spatne, protoze jsou spatne". To bezne okno ma spoustu 
nevyhod, rekneme uz tu, ze muze mluvit jazykem, kteremu uzivatel prilis 
nerozumi, pokracujme tim, ze pri prihlaseni se obcas hodi zadat jeste i neco 
jineho nez jen jmeno a heslo a jistymi (i kdyz ne zcela neresitelnymi) 
problemy s odhlasovanim konce. Navic u toho odhlasovani pres hlaicku 401 bych 
se bal chovani nekterych "obskurnich" browseru, pro ktere muze vlastni 
aplikace byt jinak zcela bezkonfliktni.

Krom toho pres prihlaseni realizovane pres PHPLib lze napriklad velmi 
elegantne udelat to, ze se stejne stranky jevi ponekud odlisne uzivatelum 
NEPRIHLASENYM vubec a pote prihlasenym uzivatelum v zavislosti na jejich 
opravneni. Pokud chces udelat stranky, ktere se budou lisit pouze nekteryma 
vecma navic pro prihlasene uzivatele tak pri pouzivani autentifikace pres 
HTTP ti nezbyde nez je udelat 2x (nechraneou verzi a pak verzi chranenou) a 
2x je taky udrzovat a menit, coz u rozsahlejsiho projektu muze byt dost opruz.

Jinak u autentifikovanych webovych aplikaci ztraceji proxy systemy a contewnt 
level switche dost svuj vyznam, predpokladam-li ze uzivatele vidi ruzne veci 
v zavislosti na jejich opravnenich atd, jsou zcela proti smyslu prihlaseni a 
vetsina takovych aplikaci by mela posilat hlavicky tak, aby proxy systemy a 
podobne nic neudrzovaly v sobe. Pokud se tak presto chovaji, je to vazna 
chyba.. 

>                               MK
> ... i kdybych vedel ze za pet minut zanikne svet, jeste bych se sel podivat
> na prcka, jak cisti SUE zuby ....  

*** Ta signatura nabyva na jiste pikantnosti :))

Filo