🥇Nginx recept: LDAP hitelesítés CAPTCHA-val

A CAPTCHA hitelesítés elkészítéséhez szükségünk lesz magára nginx és annak pluginjeire encrypted-session, form-input, ctpp2, echo, ldap, headers-more, auth_request, set-misc. (Linket adtam a forkjaimra, mivel néhány módosítást végeztem, amit még nem sikerült a hivatalos tárolókba bejuttatni. Használhatunk kész megoldásokat is.) kész formában.)

Először állítsuk be

encrypted_session_key "abcdefghijklmnopqrstuvwxyz123456";

Ezután, minden esetre, letiltjuk a hitelesítési fejlécet

more_clear_input_headers Authorization;

Most védjük le az összes hitelesítést

auth_request /auth;
location =/auth {
    internal;
    subrequest_access_phase on; # engedélyezzük a hitelesítési fázist a podkérdésben
    auth_request off; # ne használj hitelesítést
    set_decode_base64 $auth_decode $cookie_auth; # dekódoljuk a hitelesítő sütit
    set_decrypt_session $auth_decrypt $auth_decode; # dekódoljuk a hitelesítést
    if ($auth_decrypt = "") { return 401 UNAUTHORIZED; } # ha nem sikerült dekódolni, akkor a felhasználó nem hitelesített
    more_set_input_headers "Authorization: Basic $auth_decrypt"; # cseréljük a hitelesítést basic-re (hogy használhassuk a $remote_user változót)
    auth_basic_ldap_realm Auth; # engedélyezzük az ldap hitelesítést
    auth_basic_ldap_url ldap://ldap.server.com; # állítsuk be a címet
    auth_basic_ldap_bind_dn dn.server.com; # állítsuk be a postfixet
    echo -n OK; # felhasználó hitelesítve
}

Hitelesített felhasználók számára mutassuk meg a tartalmat a mappájukból

location / {
    alias html/$remote_user/;
}

Ha nincs hitelesítés, hitelesítési űrlapot mutatunk CAPTCHA-val

error_page 401 = @error401;
location @error401 {
    set_escape_uri $request_uri_escape $request_uri; # kódoljuk a kérést
    return 303 /login?request_uri=$request_uri_escape; # átirányítjuk a hitelesítési űrlapra a captcha-val, megőrizve a kérést
}
location =/login {
    default_type "text/html; charset=utf-8"; # beállítjuk a típust
    if ($request_method = GET) { # ha csak a hitelesítési űrlapot szeretnénk captcha-val megjeleníteni
        template login.html.ct2; # beállítjuk a sablont
        ctpp2 on; # engedélyezzük a sablonkezelőt
        set_secure_random_alphanum $csrf_random 32; # beállítunk egy véletlenszerű csrf-t
        encrypted_session_expires 300; # beállítjuk a csrf élettartamát 5 percre (5 * 60 = 300)
        set_encrypt_session $csrf_encrypt $csrf_random; # titkosítjuk a véletlenszerű csrf-t
        set_encode_base64 $csrf_encode $csrf_encrypt; # kódoljuk a titkosított csrf-t
        add_header Set-Cookie "CSRF=$csrf_encode; Max-Age=300"; # elhelyezzük a titkosított csrf-t a sütibe 5 percre (5 * 60 = 300)
        return 200 "{"csrf":"$csrf_random"}"; # visszaadunk egy json-t a sablonkezelőnek
    } # egyébként - feldolgozzuk a hitelesítési űrlapot captcha-val
    set_form_input $csrf_form csrf; # megszerezzük a csrf-t az űrlapból
    set_unescape_uri $csrf_unescape $csrf_form; # dekódoljuk a csrf-t az űrlapból
    set_decode_base64 $csrf_decode $cookie_csrf; # dekódoljuk a csrf-t a sütiből
    set_decrypt_session $csrf_decrypt $csrf_decode; # dekódoljuk a csrf-t a sütiből
    if ($csrf_decrypt != $csrf_unescape) { return 303 $request_uri; } # ha a csrf az űrlapból nem egyezik a sütiből származó csrf-sel, akkor átirányítunk a űrlap újramegjelenítésére
    set_form_input $captcha_form captcha; # megszerezzük a captchát az űrlapból
    set_unescape_uri $captcha_unescape $captcha_form; # dekódoljuk a captchát az űrlapból
    set_md5 $captcha_md5 "secret${captcha_unescape}${csrf_decrypt}"; # md5-öt számítunk
    if ($captcha_md5 != $cookie_captcha) { return 303 $request_uri; } # ha az md5 nem egyezik a sütiből származó captcha-val, akkor átirányítunk a űrlap újramegjelenítésére
    set_form_input $username_form username; # megszerezzük a felhasználónevet az űrlapból
    set_form_input $password_form password; # megszerezzük a jelszót az űrlapból
    set_unescape_uri $username_unescape $username_form; # dekódoljuk a felhasználónevet az űrlapból
    set_unescape_uri $password_unescape $password_form; # dekódoljuk a jelszót az űrlapból
    encrypted_session_expires 2592000; # beállítjuk a munkamenet élettartamát 30 napra (30 * 24 * 60 * 60 = 2592000)
    set $username_password "$username_unescape:$password_unescape"; # beállítjuk az alap hitelesítést
    set_encode_base64 $username_password_encode $username_password; # kódoljuk az alap hitelesítést
    set_encrypt_session $auth_encrypt $username_password_encode; # titkosítjuk az alap hitelesítést
    set_encode_base64 $auth_encode $auth_encrypt; # kódoljuk a titkosított alap hitelesítést
    add_header Set-Cookie "Auth=$auth_encode; Max-Age=2592000"; # elhelyezzük a titkosított alap hitelesítést az űrlap sütijében 30 napra (30 * 24 * 60 * 60 = 2592000)
    set $arg_request_uri_or_slash $arg_request_uri; # másoljuk a kérést az argumentumból
    set_if_empty $arg_request_uri_or_slash "/"; # ha az argumentum nem megadott, akkor kezdet
    set_unescape_uri $request_uri_unescape $arg_request_uri_or_slash; # dekódoljuk a kérést
    return 303 $request_uri_unescape; # átirányítunk a mentett kérésre
}

<html>
    <body>
        <form method="post" action="">
            <input type="hidden" name="csrf" value="<TMPL_var csrf>" />
            felhasználónév: <input type="text" name="username" placeholder="Írja be a felhasználónevet..." /><br />
            jelszó: <input type="password" name="password" /><br />
            captcha: <img src="/captcha?csrf=<TMPL_var csrf>"/><input type="text" name="captcha" autocomplete="off" /><br />
            <input type="submit" name="submit" value="küldés" />
        <input type="hidden" name="trp-form-language" value="hu"/></form>
    </body>
</html>

Forrás: habr.com

Nginx receptjei: LDAP hitelesítés CAPTCHA-val