Manual PHP. PHP para desarrollo de aplicaciones web (II)

La autenticación de usuarios utilizando HTTP

El protocolo HTTP proporciona un mecanismo de autenticación de clientes. Para ello hay que utilizar la cabecera de los paquetes HTTP e incluir en ellos que enviamos un paquete de autenticación. Este paquete, una vez recibido en el cliente, provocará que este obtenga de alguna forma un login y una clave del navegante. Lo más común es que se presente una cajita con dos campos: uno para introducir el login y el otro para introducir la clave. Este login y clave son enviados al servidor, el cual verificará los permisos de este usuario a través de algún sistema: bases de datos, LDAP etc.

PHP tiene una función llamada header() que permite trabajar con la cabecera de los paquetes HTTP. Es fundamental no escribir nada de código HTML antes de utilizar estas funciones, ya que en caso contrario, no sería posible modificar la cabecera del paquete HTTP y al llamada a la función header provocaría un error.

Si queremos enviar al usuario una petición de autentificación lo que hay que hacer es incluir al comienzo de la página el siguiente código:

if(!isset($PHP_AUTH_USER)) {

Header("WWW-Authenticate: Basic realm="Zona protegida"");
Header("HTTP/1.0 401 Unauthorized");
echo "Texto que se envía si el usuarios pulsa
el botón Canceln";
exit;  } else { echo "Hola $PHP_AUTH_USER. ";
echo "Has introducido $PHP_AUTH_PW como tu clave. "; }

En este sencillo ejemplo, tomado directamente del manual de PHP, lo único que se hace es presentar el login y clave introducidos por el usuario. Lo normal es que se compruebe este login y clave en una base de datos, a través de las potentes funciones de PHP, o en un servidor de LDAP o la misma base de datos de usuarios del sistema.

Una vez que el usuario se ha autenticado el cliente, estos datos se envían en todas las peticiones de páginas para esa zona protegida, por lo que en todo momento podemos saber quien está accediendo a las páginas. Es una especie de cookie que se mantiene mientras el usuario no apague el navegador o reciba un paquete de autentificación invalida. Con este sistema podemos tener una zona protegida en la que se hace un control exhaustivo de quien ha accedido a la página, a que hora, que otras páginas ha visitado de la zona protegida etc. El usuario es consciente que desde el momento que ha insertado su login y clave ha sido identificado, y que todo lo que haga puede ser registrado.

El problema con las cookies es que el usuario no es muchas veces consciente de este hecho, y el día que lo entiende, se vuelve un navegante paranoico más que cree que en todos los sitios le están controlando.