3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2014 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
13 if (!defined('_ECRIRE_INC_VERSION')) return;
15 include_spip('base/abstract_sql');
21 * Fonction d'authentification. Retourne:
22 * - URL de connexion si on ne sait rien (pas de cookie, pas Auth_user);
23 * - URL de connexion si on ne sait rien (pas de cookie, pas Auth_user);
24 * - un tableau si visiteur sans droit (tableau = sa ligne SQL)
25 * - code numerique d'erreur SQL
26 * - une chaine vide si autorisation a penetrer dans l'espace prive.
29 * http://doc.spip.org/@inc_auth_dist
31 * @return array|int|string
33 function inc_auth_dist() {
35 global $connect_login ;
39 if ($row) return auth_init_droits($row);
41 if (!$connect_login) return auth_a_loger();
43 // Cas ou l'auteur a ete identifie mais on n'a pas d'info sur lui
44 // C'est soit parce que la base est inutilisable,
45 // soit parce que la table des auteurs a changee (restauration etc)
46 // Pas la peine d'insister.
47 // Renvoyer le nom fautif et une URL de remise a zero
50 return array('login' => $connect_login,
51 'site' => generer_url_public('', "action=logout&logout=prive"));
53 $n = intval(sql_errno());
54 spip_log("Erreur base de donnees $n " . sql_error());
59 * fonction appliquee par ecrire/index sur le resultat de la precedente
60 * en cas de refus de connexion.
61 * Retourne un message a afficher ou redirige illico.
64 * @return array|string
66 function auth_echec($raison)
68 include_spip('inc/minipres');
69 include_spip('inc/headers');
70 // pas authentifie. Pourquoi ?
71 if (is_string($raison)) {
72 // redirection vers une page d'authentification
73 // on ne revient pas de cette fonction
74 // sauf si pb de header
75 $raison = redirige_formulaire($raison);
76 } elseif (is_int($raison)) {
77 // erreur SQL a afficher
78 $raison = minipres(_T('info_travaux_titre'), _T('titre_probleme_technique'). "<p><tt>".sql_errno()." ".sql_error()."</tt></p>");
79 } elseif (@$raison['statut']) {
80 // un simple visiteur n'a pas acces a l'espace prive
81 spip_log("connexion refusee a " . @$raison['id_auteur']);
82 $raison = minipres(_T('avis_erreur_connexion'),_T('avis_erreur_visiteur'));
84 // auteur en fin de droits ...
86 $raison = minipres(_T('avis_erreur_connexion'),
88 . _T('texte_inc_auth_1',
89 array('auth_login' => $raison['login']))
91 . _T('texte_inc_auth_2')
93 . _T('texte_inc_auth_3'));
99 * Retourne la description d'un authentifie par cookie ou http_auth
100 * Et affecte la globale $connect_login
102 * @return array|bool|string
106 global $auth_can_disconnect, $ignore_auth_http, $ignore_remote_user;
107 global $connect_login ;
110 // Initialiser variables (eviter hacks par URL)
115 $auth_can_disconnect = false;
118 // Recuperer les donnees d'identification
121 // Session valide en cours ?
122 if (isset($_COOKIE['spip_session'])) {
123 $session = charger_fonction('session', 'inc');
124 if ($id_auteur = $session()
125 OR $id_auteur===0 // reprise sur restauration
127 $auth_can_disconnect = true;
128 $connect_login = $GLOBALS['visiteur_session']['login'];
129 } else unset($_COOKIE['spip_session']);
132 // Essayer auth http si significatif
133 // (ignorer les login d'intranet independants de spip)
134 if (!$ignore_auth_http) {
136 (isset($_SERVER['PHP_AUTH_USER']) AND isset($_SERVER['PHP_AUTH_PW'])
137 AND $r = lire_php_auth($_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW']))
139 // Si auth http differtente de basic, PHP_AUTH_PW
140 // est indisponible mais tentons quand meme pour
141 // autocreation via LDAP
142 (isset($_SERVER['REMOTE_USER'])
143 AND $r = lire_php_auth($_SERVER['PHP_AUTH_USER'] = $_SERVER['REMOTE_USER'], ''))
146 $_SERVER['PHP_AUTH_PW'] = '';
147 $auth_can_disconnect = true;
148 $GLOBALS['visiteur_session'] = $r;
149 $connect_login = $GLOBALS['visiteur_session']['login'];
150 $id_auteur = $r['id_auteur'];
152 // cas de la session en plus de PHP_AUTH
153 /* if ($id_auteur != $r['id_auteur']){
154 spip_log("vol de session $id_auteur" . join(', ', $r));
155 unset($_COOKIE['spip_session']);
160 // Authentification .htaccess old style, car .htaccess semble
161 // souvent definir *aussi* PHP_AUTH_USER et PHP_AUTH_PW
162 else if (isset($_SERVER['REMOTE_USER']))
163 $connect_login = $_SERVER['REMOTE_USER'];
166 $where = (is_numeric($id_auteur)
167 /*AND $id_auteur>0*/ // reprise lors des restaurations
169 "id_auteur=$id_auteur" :
170 (!strlen($connect_login) ?
'' : "login=" . sql_quote($connect_login,'','text'));
172 if (!$where) return '';
174 // Trouver les autres infos dans la table auteurs.
175 // le champ 'quand' est utilise par l'agenda
177 return sql_fetsel("*, en_ligne AS quand", "spip_auteurs", "$where AND statut!='5poubelle'");
181 * Init des globales pour tout l'espace prive si visiteur connu
182 * Le tableau global visiteur_session contient toutes les infos pertinentes et
183 * a jour (tandis que $visiteur_session peut avoir des valeurs un peu datees
184 * s'il est pris dans le fichier de session)
185 * Les plus utiles sont aussi dans les variables simples ci-dessus
186 * si la globale est vide ce n'est pas un tableau, on la force pour empecher un warning
189 * @return array|string
191 function auth_init_droits($row)
193 global $connect_statut, $connect_toutes_rubriques, $connect_id_rubrique, $connect_login, $connect_id_auteur;
195 if ($row['statut']=='nouveau'){
196 include_spip('action/inscrire_auteur');
197 $row = confirmer_statut_inscription($row);
200 $connect_id_auteur = $row['id_auteur'];
201 $connect_login = $row['login'];
202 $connect_statut = $row['statut'];
204 $GLOBALS['visiteur_session'] = array_merge((array)$GLOBALS['visiteur_session'], $row);
206 // au cas ou : ne pas memoriser les champs sensibles
207 unset($GLOBALS['visiteur_session']['pass']);
208 unset($GLOBALS['visiteur_session']['htpass']);
209 unset($GLOBALS['visiteur_session']['alea_actuel']);
210 unset($GLOBALS['visiteur_session']['alea_futur']);
212 // creer la session au besoin
213 if (!isset($_COOKIE['spip_session'])) {
214 $session = charger_fonction('session', 'inc');
215 $spip_session = $session($row);
218 // reinjecter les preferences_auteur apres le reset de spip_session
219 // car utilisees au retour par auth_loger()
220 $r = @unserialize
($row['prefs']);
221 $GLOBALS['visiteur_session']['prefs'] = ($r ?
$r : array());
222 // si prefs pas definies, les definir par defaut
223 if (!isset($GLOBALS['visiteur_session']['prefs']['couleur'])){
224 $GLOBALS['visiteur_session']['prefs']['couleur'] = 1;
225 $GLOBALS['visiteur_session']['prefs']['display'] = 2;
226 $GLOBALS['visiteur_session']['prefs']["display_navigation"] = "navigation_avec_icones";
227 $GLOBALS['visiteur_session']['prefs']["display_outils"] = "oui";
230 $GLOBALS['visiteur_session'] = pipeline('preparer_visiteur_session',array('args'=>array('row'=>$row),'data'=>$GLOBALS['visiteur_session']));
232 // Etablir les droits selon le codage attendu
233 // dans ecrire/index.php ecrire/prive.php
235 // Pas autorise a acceder a ecrire ? renvoyer le tableau
236 // A noter : le premier appel a autoriser() a le bon gout
237 // d'initialiser $GLOBALS['visiteur_session']['restreint'],
238 // qui ne figure pas dans le fichier de session
239 include_spip('inc/autoriser');
241 if (!autoriser('ecrire'))
244 // autoriser('ecrire') ne laisse passer que les Admin et les Redac
249 if (in_array($connect_statut, explode(',', _STATUT_AUTEUR_RUBRIQUE
))) {
250 if (is_array($GLOBALS['visiteur_session']['restreint'])) {
251 $connect_id_rubrique = $GLOBALS['visiteur_session']['restreint'];
253 if ($connect_statut == '0minirezo') {
254 $connect_toutes_rubriques = !$connect_id_rubrique;
257 // Pour les redacteurs, inc_version a fait l'initialisation minimale
259 return ''; // i.e. pas de pb.
263 * Retourne l'url de connexion
267 function auth_a_loger()
269 $redirect = generer_url_public('login',
270 "url=" . rawurlencode(self('&',true)), '&');
272 // un echec au "bonjour" (login initial) quand le statut est
273 // inconnu signale sans doute un probleme de cookies
274 if (isset($_GET['bonjour']))
275 $redirect = parametre_url($redirect,
277 (!isset($GLOBALS['visiteur_session']['statut'])
287 * Tracer en base la date de derniere connexion de l'auteur
288 * http://doc.spip.org/@auth_trace
291 * @param null|string $date
293 function auth_trace($row, $date=null)
295 // Indiquer la connexion. A la minute pres ca suffit.
296 if (!is_numeric($connect_quand = $row['quand']))
297 $connect_quand = strtotime($connect_quand);
300 $date = date('Y-m-d H:i:s');
302 if (abs(strtotime($date) - $connect_quand) >= 60) {
303 sql_updateq("spip_auteurs", array("en_ligne" => $date), "id_auteur=" .$row['id_auteur']);
304 $row['en_ligne'] = $date;
307 pipeline('trig_auth_trace',array('args'=>array('row'=>$row,'date'=>$date)));
311 /** ----------------------------------------------------------------------------
312 * API Authentification, gestion des identites centralisees
316 * Fonction aiguillage, privee
317 * @param string $fonction
319 * @param mixed $defaut
322 function auth_administrer($fonction,$args,$defaut=false){
323 $auth_methode = array_shift($args);
324 $auth_methode = $auth_methode ?
$auth_methode : 'spip'; // valeur par defaut au cas ou
325 if ($auth = charger_fonction($auth_methode,'auth',true)
326 AND function_exists($f="auth_{$auth_methode}_$fonction")
328 return call_user_func_array($f, $args);
334 * Pipeline pour inserer du contenu dans le formulaire de login
339 function auth_formulaire_login($flux){
340 foreach ($GLOBALS['liste_des_authentifications'] as $methode)
341 $flux = auth_administrer('formulaire_login',array($methode,$flux),$flux);
348 * Retrouver le login interne lie a une info login saisie
349 * la saisie peut correspondre a un login delegue
350 * qui sera alors converti en login interne apres verification
352 * @param string $login
353 * @param string $serveur
354 * @return string/bool
356 function auth_retrouver_login($login, $serveur=''){
357 if (!spip_connect($serveur)) {
358 include_spip('inc/minipres');
359 echo minipres(_T('info_travaux_titre'),
360 _T('titre_probleme_technique'));
364 foreach ($GLOBALS['liste_des_authentifications'] as $methode) {
365 if ($auteur = auth_administrer('retrouver_login',array($methode, $login, $serveur))) {
374 * informer sur un login
375 * Ce dernier transmet le tableau ci-dessous a la fonction JS informer_auteur
376 * Il est invoque par la fonction JS actualise_auteur via la globale JS
377 * page_auteur=#URL_PAGE{informer_auteur} dans le squelette login
378 * N'y aurait-il pas plus simple ?
380 * @param string $login
381 * @param string $serveur
384 function auth_informer_login($login, $serveur=''){
386 OR !$login = auth_retrouver_login($login, $serveur)
387 OR !$row = sql_fetsel('*','spip_auteurs','login='.sql_quote($login,$serveur,'text'),'','','','',$serveur)
391 $prefs = unserialize($row['prefs']);
393 'id_auteur'=>$row['id_auteur'],
394 'login'=>$row['login'],
395 'cnx' => ($prefs['cnx'] == 'perma') ?
'1' : '0',
396 'logo' => recuperer_fond('formulaires/inc-logo_auteur', $row),
399 // desactiver le hash md5 si pas auteur spip ?
400 if ($row['source']!=='spip'){
401 $row['alea_actuel']= '';
402 $row['alea_futur']= '';
406 return auth_administrer('informer_login',array($row['source'],$infos, $row, $serveur),$infos);
411 * Essayer les differentes sources d'authenfication dans l'ordre specifie.
412 * S'en souvenir dans visiteur_session['auth']
414 * @param string $login
415 * @param string $password
416 * @param string $serveur
419 function auth_identifier_login($login, $password, $serveur=''){
421 foreach ($GLOBALS['liste_des_authentifications'] as $methode) {
422 if ($auth = charger_fonction($methode, 'auth',true)){
423 $auteur = $auth($login, $password, $serveur);
424 if (is_array($auteur) AND count($auteur)) {
425 spip_log("connexion de $login par methode $methode");
426 $auteur['auth'] = $methode;
429 elseif (is_string($auteur))
430 $erreur .= "$auteur ";
437 * Fournir une url de retour apres login par un SSO
438 * pour finir l'authentification
440 * @param string $auth_methode
441 * @param string $login
442 * @param string $redirect
443 * @param string $serveur
446 function auth_url_retour_login($auth_methode, $login, $redirect='', $serveur=''){
447 $securiser_action = charger_fonction('securiser_action','inc');
448 return $securiser_action('auth', "$auth_methode/$login", $redirect, true);
451 function auth_terminer_identifier_login($auth_methode, $login, $serveur=''){
452 $args = func_get_args();
453 $auteur = auth_administrer('terminer_identifier_login',$args);
458 * Loger un auteur suite a son identification
460 * @param array $auteur
463 function auth_loger($auteur){
464 if (!is_array($auteur) OR !count($auteur))
467 // initialiser et poser le cookie de session
468 unset($_COOKIE['spip_session']);
469 auth_init_droits($auteur);
471 // initialiser les prefs
472 $p = $GLOBALS['visiteur_session']['prefs'];
473 $p['cnx'] = ($auteur['cookie'] == 'oui') ?
'perma' : '';
475 sql_updateq('spip_auteurs',
476 array('prefs' => serialize($p)),
477 "id_auteur=" . $auteur['id_auteur']);
479 // Si on est admin, poser le cookie de correspondance
480 include_spip('inc/cookie');
481 if ($auteur['statut'] == '0minirezo') {
482 spip_setcookie('spip_admin', '@'.$auteur['login'],
483 time() +
7 * 24 * 3600);
485 // sinon le supprimer ...
487 spip_setcookie('spip_admin', '',1);
490 // bloquer ici le visiteur qui tente d'abuser de ses droits
496 function auth_deloger(){
497 $logout = charger_fonction('logout','action');
502 * Tester la possibilite de modifier le login d'authentification
503 * pour la methode donnee
505 * @param string $auth_methode
506 * @param string $serveur
509 function auth_autoriser_modifier_login($auth_methode, $serveur=''){
510 $args = func_get_args();
511 return auth_administrer('autoriser_modifier_login',$args);
515 * Verifier la validite d'un nouveau login pour modification
516 * pour la methode donnee
518 * @param string $auth_methode
519 * @param string $new_login
520 * @param int $id_auteur
521 * @param string $serveur
523 * message d'erreur ou chaine vide si pas d'erreur
525 function auth_verifier_login($auth_methode, $new_login, $id_auteur=0, $serveur=''){
526 $args = func_get_args();
527 return auth_administrer('verifier_login',$args,'');
531 * Modifier le login d'un auteur pour la methode donnee
533 * @param string $auth_methode
534 * @param string $new_login
535 * @param int $id_auteur
536 * @param string $serveur
539 function auth_modifier_login($auth_methode, $new_login, $id_auteur, $serveur=''){
540 $args = func_get_args();
541 return auth_administrer('modifier_login',$args);
545 * Tester la possibilite de modifier le pass
546 * pour la methode donnee
548 * @param string $auth_methode
549 * @param string $serveur
553 function auth_autoriser_modifier_pass($auth_methode, $serveur=''){
554 $args = func_get_args();
555 return auth_administrer('autoriser_modifier_pass',$args);
559 * Verifier la validite d'un pass propose pour modification
560 * pour la methode donnee
562 * @param string $auth_methode
563 * @param string $login
564 * @param string $new_pass
565 * @param int $id_auteur
566 * @param string $serveur
568 * message d'erreur ou chaine vide si pas d'erreur
570 function auth_verifier_pass($auth_methode, $login, $new_pass, $id_auteur=0, $serveur=''){
571 $args = func_get_args();
572 return auth_administrer('verifier_pass',$args,'');
576 * Modifier le mot de passe d'un auteur
577 * pour la methode donnee
579 * @param string $auth_methode
580 * @param string $login
581 * @param string $new_pass
582 * @param int $id_auteur
583 * @param string $serveur
587 function auth_modifier_pass($auth_methode, $login, $new_pass, $id_auteur, $serveur=''){
588 $args = func_get_args();
589 return auth_administrer('modifier_pass',$args);
593 * Synchroniser un compte sur une base distante pour la methode
594 * donnee lorsque des modifications sont faites dans la base auteur
596 * @param string|bool $auth_methode
597 * ici true permet de forcer la synchronisation de tous les acces pour toutes les methodes
598 * @param int $id_auteur
599 * @param array $champs
600 * @param array $options
601 * @param string $serveur
604 function auth_synchroniser_distant($auth_methode=true, $id_auteur=0, $champs=array(), $options = array(), $serveur=''){
605 $args = func_get_args();
606 if ($auth_methode===true OR (isset($options['all']) AND $options['all']==true)){
607 $options['all'] = true; // ajouter une option all=>true pour chaque auth
608 $args = array(true, $id_auteur, $champs, $options, $serveur);
609 foreach ($GLOBALS['liste_des_authentifications'] as $methode) {
611 array_unshift($args,$methode);
612 auth_administrer('synchroniser_distant',$args);
616 auth_administrer('synchroniser_distant',$args);
622 * @param string $login
624 * @param string $serveur
627 function lire_php_auth($login, $pw, $serveur=''){
629 $row = sql_fetsel('*', 'spip_auteurs', 'login=' . sql_quote($login,$serveur,'text'),'','','','',$serveur);
632 if (spip_connect_ldap($serveur)
633 AND $auth_ldap = charger_fonction('ldap', 'auth', true))
634 return $auth_ldap($login, $pw, $serveur, true);
637 // su pas de source definie
638 // ou auth/xxx introuvable, utiliser 'spip'
639 if (!$auth_methode = $row['source']
640 OR !$auth = charger_fonction($auth_methode, 'auth', true))
641 $auth = charger_fonction('spip', 'auth', true);
645 $auteur = $auth($login, $pw, $serveur, true);
646 // verifier que ce n'est pas un message d'erreur
647 if (is_array($auteur) AND count($auteur))
653 * entete php_auth (est-encore utilise ?)
656 * @param string $raison
657 * @param string $retour
660 * @param string $lien
662 function ask_php_auth($pb, $raison, $retour='', $url='', $re='', $lien='') {
663 @Header
("WWW-Authenticate: Basic realm=\"espace prive\"");
664 @Header
("HTTP/1.0 401 Unauthorized");
666 $public = generer_url_public();
667 $ecrire = generer_url_ecrire();
668 $retour = $retour?
$retour:_T('icone_retour');
669 $corps .= "<p>$raison</p>[<a href='$public'>$retour</a>] ";
671 $corps .= "[<a href='" . generer_url_action('cookie',"essai_auth_http=oui&$url") . "'>$re</a>]";
675 $corps .= " [<a href='$ecrire'>"._T('login_espace_prive')."</a>]";
676 include_spip('inc/minipres');
677 echo minipres($pb,$corps);