Lumen HTTP基本身份验证无需使用数据库

Question

我正在使用Lumen创建一个RESTful API，并希望添加HTTP基本身份验证以增强安全性。

在routes.php文件中，为每个路由设置了auth.basic中间件：

$app->get('profile', ['middleware' => 'auth.basic', function() {
     // logic here
}]);

现在当我访问http://example-api.local/profile时，会提示我进行HTTP基本身份验证，这很好。但是当我尝试登录时，我收到以下错误消息：Fatal error: Class '\App\User' not found in C:\..\vendor\illuminate\auth\EloquentUserProvider.php on line 126 我不想在数据库上验证用户，因为我只需要一个凭据，所以最有可能的情况是将用户名和密码存储在变量中并从那里进行验证。

顺便说一下，我是通过这个Laracast教程来参考实现的。虽然它是一个Laravel应用程序教程，但我正在Lumen应用程序上实施它。

- basagabi

Answer 1

我正在回答我的问题，因为我已经使它工作了，但仍然希望从其他人那里获得有关我的解决方案和正确的Laravel方法的更多见解。

我通过创建一个自定义中间件来处理此问题：

<?php

namespace App\Http\Middleware;

use Closure;

class HttpBasicAuth
{

    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        $envs = [
            'staging',
            'production'
        ];

        if(in_array(app()->environment(), $envs)) {
            if($request->getUser() != env('API_USERNAME') || $request->getPassword() != env('API_PASSWORD')) {
                $headers = array('WWW-Authenticate' => 'Basic');
                return response('Unauthorized', 401, $headers);
            }
        }

        return $next($request);
    }

}

如果你查看代码，会发现它非常基本且运行良好。虽然我想知道是否有“Laravel”的做法来完成这个任务，因为上面的代码是一个执行HTTP基本身份验证的普通PHP代码。

如果你注意到，用户名和密码的验证是硬编码在.env文件中的，因为我认为没有必要访问数据库进行验证。

- basagabi

---

这个方案很好。唯一的问题（非常重要）是这一行代码：if($request->getUser() != env('API_USERNAME') && $request->getPassword() != env('API_PASSWORD')) { 应该改为 if($request->getUser() != env('API_USERNAME') || $request->getPassword() != env('API_PASSWORD')) { - 注意 || 和 && 的区别。 - Alex Coleman

非常好的简单解决方案。进一步简化的方法之一是将环境条件更改为：app()->environment('production', 'staging') - Taylor

Answer 2

请检查您的bootstrap/app.php文件。确保您已经注册了auth.basic中间件，类似于以下内容：

$app->routeMiddleware([    'auth.basic' => Illuminate\Auth\Middleware\AuthenticateWithBasicAuth::class,]);

之后，更改您的路由：

$app->get('/profile', ['middleware' => 'auth.basic', function() {
    // Logic
}]);

编辑

如果你想使用 database 而不是 eloquent 进行身份验证，你可以调用以下方法：

Auth::setDefaultDriver('database');

在进行身份验证之前：

Auth::attempt([
    'email' => '[e-mail]',
    'password' => 'secret',
]);

编辑 #2

如果您希望以硬编码方式进行身份验证，可以为AuthManager类定义自己的驱动程序：

Auth::setDefaultDriver('basic');

Auth::extend('basic', function () {
    return new App\Auth\Basic();
});

以下是 App\Auth\Basic 类的基础：

<?php

namespace App\Auth;

use Illuminate\Contracts\Auth\UserProvider;
use Illuminate\Contracts\Auth\Authenticatable;

class Basic implements UserProvider
{
    /**
     * Retrieve a user by their unique identifier.
     *
     * @param  mixed  $identifier
     * @return \Illuminate\Contracts\Auth\Authenticatable|null
     */
    public function retrieveById($identifier)
    {

    }

    /**
     * Retrieve a user by their unique identifier and "remember me" token.
     *
     * @param  mixed   $identifier
     * @param  string  $token
     * @return \Illuminate\Contracts\Auth\Authenticatable|null
     */
    public function retrieveByToken($identifier, $token)
    {

    }

    /**
     * Update the "remember me" token for the given user in storage.
     *
     * @param  \Illuminate\Contracts\Auth\Authenticatable  $user
     * @param  string  $token
     * @return void
     */
    public function updateRememberToken(Authenticatable $user, $token)
    {

    }

    /**
     * Retrieve a user by the given credentials.
     *
     * @param  array  $credentials
     * @return \Illuminate\Contracts\Auth\Authenticatable|null
     */
    public function retrieveByCredentials(array $credentials)
    {
        return new User($credentials);
    }

    /**
     * Validate a user against the given credentials.
     *
     * @param  \Illuminate\Contracts\Auth\Authenticatable  $user
     * @param  array  $credentials
     * @return bool
     */
    public function validateCredentials(Authenticatable $user, array $credentials)
    {
        $identifier = $user->getAuthIdentifier();
        $password = $user->getAuthPassword();

        return ($identifier === '[e-mail]' && $password === 'password');
    }
}

请注意，validateCredentials方法需要第一个参数是Illuminate\Contracts\Auth\Authenticatable接口的实现，因此您需要创建自己的User类：

<?php

namespace App\Auth;

use Illuminate\Support\Fluent;
use Illuminate\Contracts\Auth\Authenticatable;

class User extends Fluent implements Authenticatable
{
    /**
     * Get the unique identifier for the user.
     *
     * @return mixed
     */
    public function getAuthIdentifier()
    {
        return $this->email;
    }

    /**
     * Get the password for the user.
     *
     * @return string
     */
    public function getAuthPassword()
    {
        return $this->password;
    }

    /**
     * Get the token value for the "remember me" session.
     *
     * @return string
     */
    public function getRememberToken()
    {

    }

    /**
     * Set the token value for the "remember me" session.
     *
     * @param  string  $value
     * @return void
     */
    public function setRememberToken($value)
    {

    }

    /**
     * Get the column name for the "remember me" token.
     *
     * @return string
     */
    public function getRememberTokenName()
    {

    }
}

你可以通过 Auth::attempt 方法测试自己的驱动程序：

Auth::setDefaultDriver('basic');

Auth::extend('basic', function () {
    return new App\Auth\Basic();
});

dd(Auth::attempt([
    'email' => '[e-mail]',
    'password' => 'password',
])); // return true

- krisanalfa

---

我对身份验证中间件的加载没有问题，问题是它正在从用户表验证用户。我不想从数据库验证身份验证，因为它只有一个凭据用于验证和连接到仅具有一条记录的数据库似乎毫无意义。那么为什么不只是制作 $user == 'John' 呢？我能够使用 PHP 的 HTTP 身份验证来实现此目的，但我想知道是否有“Laravel”方法可以做到这一点。 - basagabi

刚刚用 Laravel 5.8 成功运行了。不过我需要使用 Auth::provider 而不是 Auth::extend。而且 Authenticatable 接口还需要一个 getAuthIdentifierName 方法（空方法貌似也可以）。 - Sebastien C.

Answer 3

首先，我们将在中间件中扩展AuthenticateWithBasicAuth。

<?php

 namespace App\Http\Middleware;
 use \Illuminate\Auth\Middleware\AuthenticateWithBasicAuth;


 class HttpBasicAuth extends AuthenticateWithBasicAuth
 {

 }

在 config/auth.php 中创建自定义 guard，我们将使用 custom_http_guard 和 HttpBasicAuth。

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],

    'api' => [
        'driver' => 'token',
        'provider' => 'users',
    ],

    'custom_http_guard' => [
        'driver' => 'token',
        'provider' => 'custom_http_provider',
    ],
],

我们将使用Laravel的默认“token”驱动程序。

'providers' => [
    'users' => [
        'driver' => 'eloquent',
        'model' => App\User::class,
    ],

 'custom_http_provider' => [
     'data' => [
         'email' => '[e-mail]',
         'password' => 'secret',
      ]
 ],
],

如果您能找到像上面那样返回数据的方法，那么您就很棒，并且可以按照Laravel标准获取代码。

希望您已经理解了！正在寻找最终解决方案。如果有人能完成：）

Vaibhav Arora

- Vaibhav