Nginx recepti: osnovna autentifikacija s CAPTCHA-om

Za pripremu autorizacije s CAPTCHA-om trebat će nam sam nginx i njegovi dodaci encrypted-session, form-input, ctpp2, echo, headers-more, auth_request, auth_basic, set-misc. (Povezao sam svoje forke, jer sam napravio neke izmjene koje još nisam uspio gurnuti u originalne repozitorije. Možete također iskoristiti gotovu verziju.)

Prvo postavimo

encrypted_session_key "abcdefghijklmnopqrstuvwxy123456";

Zatim, za svaki slučaj, isključujemo autorizacijski zaglavlje

more_clear_input_headers Authorization;

Sada štitimo sve autorizacijom

auth_request /auth;
location =/auth {
    internal;
    subrequest_access_phase on; # dopuštamo autorizacijsku fazu u podupitu
    auth_request off; # ne koristiti autorizaciju
    set_decode_base64 $auth_decode $cookie_auth; # dekodiramo autorizacijski kolačić
    set_decrypt_session $auth_decrypt $auth_decode; # dešifriramo autorizacijski kolačić
    if ($auth_decrypt = "") { return 401 UNAUTHORIZED; } # ako nije uspjelo dešifriranje, to znači da korisnik nije autoriziran
    more_set_input_headers "Authorization: Basic $auth_decrypt"; # zamjenjujemo autorizaciju na basic (da bismo koristili varijablu $remote_user)
    auth_basic_user_file /data/nginx/.htaccess; # definiramo datoteku za basic autorizaciju
    auth_basic Auth; # uključujemo basic autorizaciju
    echo -n OK; # korisnik je autoriziran
}

Za autorizirane korisnike prikazujemo sadržaj iz njihove mape

location / {
    alias html/$remote_user/;
}

A u slučaju neautorizacije prikazujemo autorizacijski oblik s CAPTCHA-om

error_page 401 = @error401;
location @error401 {
    set_escape_uri $request_uri_escape $request_uri; # kodiramo zahtjev
    return 303 /login?request_uri=$request_uri_escape; # preusmjeravamo na obrazac za prijavu s CAPTCHA-om, zadržavajući zahtjev
}
location =/login {
    default_type "text/html; charset=utf-8"; # postavljamo tip
    if ($request_method = GET) { # ako samo prikazujemo obrazac za prijavu s CAPTCHA-om
        template login.html.ct2; # postavljamo predložak
        ctpp2 on; # uključujemo predložak
        set_secure_random_alphanum $csrf_random 32; # postavljamo slučajni csrf
        encrypted_session_expires 300; # postavljamo vrijeme trajanja csrf 5 minuta (5 * 60 = 300)
        set_encrypt_session $csrf_encrypt $csrf_random; # šifriramo slučajni csrf
        set_encode_base64 $csrf_encode $csrf_encrypt; # kodiramo šifrirani csrf
        add_header Set-Cookie "CSRF=$csrf_encode; Max-Age=300"; # smještamo šifrirani csrf u kolačić na 5 minuta (5 * 60 = 300)
        return 200 "{"csrf":"$csrf_random"}"; # vraćamo json za predložak
    } # inače - obrađujemo obrazac za prijavu s CAPTCHA-om
    set_form_input $csrf_form csrf; # dobivamo csrf iz obrasca
    set_unescape_uri $csrf_unescape $csrf_form; # dekodiramo csrf iz obrasca
    set_decode_base64 $csrf_decode $cookie_csrf; # dekodiramo csrf iz kolačića
    set_decrypt_session $csrf_decrypt $csrf_decode; # dešifriramo csrf iz kolačića
    if ($csrf_decrypt != $csrf_unescape) { return 303 $request_uri; } # ako csrf iz obrasca ne odgovara csrf iz kolačića, preusmjeravamo na ponovni prikaz obrasca
    set_form_input $captcha_form captcha; # dobivamo CAPTCHA-u iz obrasca
    set_unescape_uri $captcha_unescape $captcha_form; # dekodiramo CAPTCHA-u iz obrasca
    set_md5 $captcha_md5 "secret${captcha_unescape}${csrf_decrypt}"; # izračunavamo md5
    if ($captcha_md5 != $cookie_captcha) { return 303 $request_uri; } # ako md5 ne odgovara CAPTCHA-i iz kolačića, preusmjeravamo na ponovni prikaz obrasca
    set_form_input $username_form username; # dobivamo korisničko ime iz obrasca
    set_form_input $password_form password; # dobivamo lozinku iz obrasca
    set_unescape_uri $username_unescape $username_form; # dekodiramo korisničko ime iz obrasca
    set_unescape_uri $password_unescape $password_form; # dekodiramo lozinku iz obrasca
    encrypted_session_expires 2592000; # postavljamo vrijeme trajanja sesije 30 dana (30 * 24 * 60 * 60 = 2592000)
    set $username_password "$username_unescape:$password_unescape"; # postavljamo basic autorizaciju
    set_encode_base64 $username_password_encode $username_password; # kodiramo basic autorizaciju
    set_encrypt_session $auth_encrypt $username_password_encode; # šifriramo basic autorizaciju
    set_encode_base64 $auth_encode $auth_encrypt; # kodiramo šifriranu basic autorizaciju
    add_header Set-Cookie "Auth=$auth_encode; Max-Age=2592000"; # smještamo šifriranu basic autorizaciju u kolačić za autorizaciju na 30 dana (30 * 24 * 60 * 60 = 2592000)
    set $arg_request_uri_or_slash $arg_request_uri; # kopiramo zahtjev iz argumenta
    set_if_empty $arg_request_uri_or_slash "/"; # ako argument nije postavljen, započinje
    set_unescape_uri $request_uri_unescape $arg_request_uri_or_slash; # dekodiramo zahtjev
    return 303 $request_uri_unescape; # preusmjeravamo na pohranjeni zahtjev
}

login.html

<html>
    <body>
        <form method="post" action="">
            <input type="hidden" name="csrf" value="<TMPL_var csrf>" />
            korisničko ime: <input type="text" name="username" placeholder="Unesite korisničko ime..." /><br />
            password: <input type="password" name="password" /><br />
            captcha: <img src="/captcha?csrf=<TMPL_var csrf>"/><input type="text" name="captcha" autocomplete="off" /><br />
            <input type="submit" name="submit" value="pošalji" />
        <input type="hidden" name="trp-form-language" value="hr"/></form>
    </body>
</html>

Izvor: habr.com