Nginx receptes: pamata autentifikācija ar CAPTCHA

Lai sagatavotu autorizāciju ar CAPTCHA, mums būs nepieciešams pats nginx un tā spraudņi encrypted-session, form-input, ctpp2, echo, headers-more, auth_request, auth_basic, set-misc. (Es esmu norādījis uz saviem forkiem, jo ​​veicu dažas izmaiņas, kuras pagaidām nav izdevies iekļaut oriģinālajos repozitorijos. Var izmantot arī gatavo veidu.)

Sāksim ar

encrypted_session_key "abcdefghijklmnopqrstuvwxyz123456";

Tālāk, visiem gadījumiem, atspējojām autorizācijas virsrakstu

more_clear_input_headers Authorization;

Tagad aizsargājam visu ar autorizāciju

auth_request \/auth;
location =\/auth {
    internal;
    subrequest_access_phase on; # atļaut autorizācijas fāzi apakšpieprasījumā
    auth_request off; # nelietot autorizāciju
    set_decode_base64 $auth_decode $cookie_auth; # dekodēt autorizācijas sīkdatni
    set_decrypt_session $auth_decrypt $auth_decode; # atšifrēt autorizācijas sesiju
    if ($auth_decrypt = "") { return 401 UNAUTHORIZED; } # ja neizdodas atšifrēt, tad lietotājs nav autorizēts
    more_set_input_headers "Authorization: Basic $auth_decrypt"; # aizvietot autorizāciju ar basic (lai izmantotu mainīgo $remote_user)
    auth_basic_user_file \/data\/nginx\/.htaccess; # norādīt basic autorizācijas failu
    auth_basic Auth; # ieslēgt basic autorizāciju
    echo -n OK; # lietotājs autorizēts
}

Autorizētiem lietotājiem rādām saturu no viņu mape

location \/ {
    alias html\/$remote_user\/;
}

Ja autorizācija nav, rādām autorizācijas formu ar CAPTCHA

error_page 401 = @error401;
location @error401 {
    set_escape_uri $request_uri_escape $request_uri; # kodējam pieprasījumu
    return 303 /login?request_uri=$request_uri_escape; # novirza uz autorizācijas formu ar CAPTCHA, saglabājot pieprasījumu
}
location =/login {
    default_type "text/html; charset=utf-8"; # iestata tipu
    if ($request_method = GET) { # ja tikai jāparāda autorizācijas forma ar CAPTCHA
        template login.html.ct2; # iestata veidni
        ctpp2 on; # ieslēdzam veidnes radītāju
        set_secure_random_alphanum $csrf_random 32; # iestata nejaušu csrf
        encrypted_session_expires 300; # iestata csrf dzīves ilgumu uz 5 minūtēm (5 * 60 = 300)
        set_encrypt_session $csrf_encrypt $csrf_random; # šifrējam nejaušu csrf
        set_encode_base64 $csrf_encode $csrf_encrypt; # kodējam šifrēto csrf
        add_header Set-Cookie "CSRF=$csrf_encode; Max-Age=300"; # ievieto šifrēto csrf sīkdatnē uz 5 minūtēm (5 * 60 = 300)
        return 200 "{"csrf":"$csrf_random"}"; # atgriež json veidnes radītājam
    } # citādi - apstrādā autorizācijas formu ar CAPTCHA
    set_form_input $csrf_form csrf; # iegūst csrf no formas
    set_unescape_uri $csrf_unescape $csrf_form; # atšifrē csrf no formas
    set_decode_base64 $csrf_decode $cookie_csrf; # atšifrē csrf no sīkdatnes
    set_decrypt_session $csrf_decrypt $csrf_decode; # desifrē csrf no sīkdatnes
    if ($csrf_decrypt != $csrf_unescape) { return 303 $request_uri; } # ja csrf no formas nesakrīt ar csrf no sīkdatnes, tad novirza, lai atkal parādītu formu
    set_form_input $captcha_form captcha; # iegūst CAPTCHA no formas
    set_unescape_uri $captcha_unescape $captcha_form; # atšifrē CAPTCHA no formas
    set_md5 $captcha_md5 "secret${captcha_unescape}${csrf_decrypt}"; # aprēķina md5
    if ($captcha_md5 != $cookie_captcha) { return 303 $request_uri; } # ja md5 nesakrīt ar CAPTCHA no sīkdatnes, tad novirza, lai atkal parādītu formu
    set_form_input $username_form username; # iegūst lietotājvārdu no formas
    set_form_input $password_form password; # iegūst paroli no formas
    set_unescape_uri $username_unescape $username_form; # atšifrē lietotājvārdu no formas
    set_unescape_uri $password_unescape $password_form; # atšifrē paroli no formas
    encrypted_session_expires 2592000; # iestata sesijas dzīves ilgumu uz 30 dienām (30 * 24 * 60 * 60 = 2592000)
    set $username_password "$username_unescape:$password_unescape"; # iestata pamata autorizāciju
    set_encode_base64 $username_password_encode $username_password; # kodē pamata autorizāciju
    set_encrypt_session $auth_encrypt $username_password_encode; # šifrē pamata autorizāciju
    set_encode_base64 $auth_encode $auth_encrypt; # kodē šifrēto pamata autorizāciju
    add_header Set-Cookie "Auth=$auth_encode; Max-Age=2592000"; # ievieto šifrēto pamata autorizāciju sīkdatnē uz 30 dienām (30 * 24 * 60 * 60 = 2592000)
    set $arg_request_uri_or_slash $arg_request_uri; # kopē pieprasījumu no argumenta
    set_if_empty $arg_request_uri_or_slash "/"; # ja arguments nav norādīts, tad sākums
    set_unescape_uri $request_uri_unescape $arg_request_uri_or_slash; # atšifrē pieprasījumu
    return 303 $request_uri_unescape; # novirza uz saglabāto pieprasījumu
}

login.html

<html>
    <body>
        <form method="post" action="">
            <input type="hidden" name="csrf" value="<TMPL_var csrf>" />
            lietotājvārds: <input type="text" name="username" placeholder="Ievadiet lietotājvārdu..." /><br />
            parole: <input type="password" name="password" /><br />
            verifikācijas kods: <img src="/captcha?csrf=<TMPL_var csrf>"/><input type="text" name="captcha" autocomplete="off" /><br />
            <input type="submit" name="submit" value="nosūtīt" />
        <input type="hidden" name="trp-form-language" value="lv"/></form>
    </body>
</html>

Avots: habr.com