PHP基础身份验证：HTTP Basic认证与表单提交实现

阿麦

发布时间：2026-10-16| 4人浏览过

原创

本文详解在PHP环境中实现简单网站访问控制的两类技术路径：一是针对Apache模块环境的HTTP Basic身份认证，二是适用于CGI环境的客户端表单验证机制，涵盖代码逻辑、参数设置及关键注意事项。

结果与目标

构建一个基础的交互界面，限制特定资源（如照片集）的访问权限，仅允许拥有正确凭证的用户进入。通过服务端脚本拦截未授权请求，并根据输入的凭据授予或拒绝访问。

准备条件

运行环境识别：
- HTTP Basic认证方案：要求PHP以Apache模块方式（Module）运行。若为CGI模式，相关全局变量可能无法获取，导致该方案失效。
- 表单验证方案：兼容各种运行模式（包括CGI和FastCGI），但需在页面内输出HTML结构。
凭证准备：定义合法的用户名和密码对（例如 tnc/nature 或 admin/123）。在生产环境中，建议将凭证存储在加密文件或数据库中，而非硬编码。
风险提示：以下示例旨在演示技术原理。实际生产中直接存储明文密码存在安全隐患，请务必对敏感数据进行哈希处理（如使用 password_hash()），并启用SSL/TLS加密传输。

真实操作顺序

第1步：实施HTTP Basic身份验证

目的：利用浏览器原生的弹出对话框进行认证，用户体验较好且符合HTTP协议标准。

入口：index.php（或其他受保护页面）顶部。

动作：

检测凭据是否存在：检查 $PHP_AUTH_USER 是否已设置。若未设置，说明是首次访问或用户点击了取消。
发送认证头：调用 header() 函数发送两个关键标头：
- WWW-Authenticate: Basic realm="My Realm"：告知浏览器使用基本认证方式及认证领域名称。
- HTTP/1.0 401 Unauthorized：返回未授权状态码，触发浏览器弹出输入框。
终止执行：输出简短提示信息后调用 exit，防止后续内容渲染。

<?php
// 检查用户是否已提供凭据
if (!isset($PHP_AUTH_USER)) {
    header('WWW-Authenticate: Basic realm="My Private Stuff"');
    header('HTTP/1.0 401 Unauthorized');
    echo 'Authorization Required.';
    exit;
}

动作：核对凭据有效性：

比对账号：检查 $PHP_AUTH_USER 和 $PHP_AUTH_PW 是否与预设值匹配（如 admin / 123）。
处理失败：若不匹配，再次发送 401 头和认证指令，要求用户重新输入，并给出错误反馈。
处理成功：若匹配，则输出欢迎信息或加载受保护内容。

<?php
// ... 接上一步检测代码
else if (isset($PHP_AUTH_USER)) {
    // 假设合法账号为 admin，密码为 123
    if (($PHP_AUTH_USER != "admin") || ($PHP_AUTH_PW != "123")) {
        header('WWW-Authenticate: Basic realm="My Private Stuff"');
        header('HTTP/1.0 401 Unauthorized');
        echo 'Authorization Required. Please enter correct credentials.';
        exit;
    } else {
        echo "<p>You're authorized! Welcome, $PHP_AUTH_USER.</p>";
        // 此处可放置受保护的内容
    }
}
?>

重要参数说明：

$PHP_AUTH_USER, $PHP_AUTH_PW, $PHP_AUTH_TYPE：自动保存客户端输入的全局变量。仅在API Mode或Module模式下有效，CGI模式下通常不可用。
realm：认证领域的标识字符串，会在弹窗标题中显示，用于区分不同系统的登录要求。

可观察的完成状态：浏览器窗口中央弹出系统级登录对话框，输入错误凭据时弹窗反复出现，输入正确后隐藏对话框并显示正文内容。

第2步：实施简易表单密码验证

目的：当无法使用HTTP Basic认证（如CGI模式）时，提供一个自定义样式的登录界面。

入口：login.php。

动作：

定义预设密码：服务器端设定一个变量 $password 用于比对。
检查输入状态：判断 $pass 变量（来自表单POST提交）是否为空或不匹配。
渲染登录表单：
- 构造HTML结构，包含一个 <form>，属性 method="post"， action="$PHP_SELF"。
- 添加 <input type="password" name="pass"> 输入框。
- 添加 <input type="submit" value="continue"> 按钮。
处理成功跳转：若 $pass == $password，输出JavaScript代码 window.location=... 重定向至受保护页面。

<?php
$password = "123"; // 预设密码
$pass = isset($_POST['pass']) ? $_POST['pass'] : ''; // 获取POST数据

// 注意：原始草稿中直接使用 $pass 而未从 $_POST 获取，现代PHP建议明确获取
// 此处保留原逻辑意图：若未输入或密码错误，显示表单
if ($pass != $password) {
    echo "<html><head><title>管理密码</title></head><body>";
    echo "<form method='post' action='$PHP_SELF'>";
    echo "请输入你的管理密码:<br>";
    echo "<input type='password' name='pass'>";
    echo "<input type='submit' value='continue'>";
    echo "</form></body></html>";
} else {
    echo "<html><head><title>恭喜你，你已经通过了密码验证</title></head>";
    echo "<script>window.location='http://example.com/target_page.php';</script>";
    echo "</html>";
}
?>

可观察的完成状态：页面显示文本输入框和密码输入框，提交后若密码正确则自动跳转到指定URL；若错误则刷新页面并保持输入框清空或保留原状态（视具体JS实现而定，上述代码仅做跳转，未处理错误回显，需根据实际需求补充错误提示逻辑）。