3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2012 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
13 if (!defined('_ECRIRE_INC_VERSION')) return;
15 // Authentifie via LDAP et retourne la ligne SQL decrivant l'utilisateur si ok
17 // Attributs LDAP correspondants a ceux de SPIP, notamment pour le login
18 // ne pas ecraser une definition perso dans mes_options
19 if (!isset($GLOBALS['ldap_attributes']) OR !is_array($GLOBALS['ldap_attributes'])){
20 $GLOBALS['ldap_attributes'] = array(
21 'login' => array('sAMAccountName', 'uid', 'login', 'userid', 'cn','sn'),
24 'bio' => "description");
28 * Fonction principale d'authentification du module auth/ldap
30 * - On se bind avec le compte generique defini dans config/ldap.php,
31 * - On determine le DN de l'utilisateur candidat a l'authentification,
32 * - On se re-bind avec ce DN et le mot de passe propose.
34 * Si la connexion est autorisee, on renvoie pour enregistrement en session,
35 * en plus des champs SQL habituels, les informations de connexion de
36 * l'utilisateur (DN et password). Cela permettra de se binder en cours de
37 * session sous son identite specifique pour les operations necessitant des
38 * privileges particuliers.
39 * TODO: Gerer une constante de conf qui permette de choisir entre ce
40 * comportement et tout faire avec le compte generique.
42 * @param string $login
44 * @param string $serveur
45 * @param bool $phpauth
48 // http://doc.spip.org/@inc_auth_ldap_dist
49 function auth_ldap_dist ($login, $pass, $serveur='', $phpauth=false) {
51 #spip_log("ldap $login " . ($pass ? "mdp fourni" : "mdp absent"));
53 // Utilisateur connu ?
54 // si http auth, inutile de reauthentifier: cela
55 // ne marchera pas avec auth http autre que basic.
56 $checkpass = isset($_SERVER["REMOTE_USER"])?
false:true;
57 if (!($dn = auth_ldap_search($login, $pass, $checkpass, $serveur))) return array();
58 $credentials_ldap = array('ldap_dn' => $dn, 'ldap_password' => $pass);
60 // Si l'utilisateur figure deja dans la base, y recuperer les infos
61 $r = sql_fetsel("*", "spip_auteurs", "login=" . sql_quote($login) . " AND source='ldap'",'','','','',$serveur);
63 if ($r) return array_merge($r, $credentials_ldap);
65 // sinon importer les infos depuis LDAP,
67 if ($GLOBALS['meta']["ldap_statut_import"]
68 AND $desc = auth_ldap_retrouver($dn, array(), $serveur)) {
69 // rajouter le statut indique a l'install
70 $desc['statut'] = $GLOBALS['meta']["ldap_statut_import"];
71 $desc['login'] = $login;
72 $desc['source'] = 'ldap';
75 $r = sql_insertq('spip_auteurs', $desc,'',$serveur);
81 sql_fetsel("*", "spip_auteurs", "id_auteur=".intval($r),'','','','',$serveur)
85 spip_log("Creation de l'auteur '$login' impossible");
90 * Connexion a l'annuaire LDAP
91 * Il faut passer par spip_connect() pour avoir les info
92 * donc potentiellement indiquer un serveur
93 * meme si dans les fait cet argument est toujours vide
95 * @param string $serveur
98 function auth_ldap_connect($serveur='') {
99 include_spip('base/connect_sql');
100 static $connexions_ldap = array();
101 if (isset($connexions_ldap[$serveur])) return $connexions_ldap[$serveur];
102 $connexion = spip_connect($serveur);
103 if (!is_array($connexion['ldap'])) {
104 if ($connexion['authentification']['ldap']) {
105 $f = _DIR_CONNECT
. $connexion['authentification']['ldap'];
106 unset($GLOBALS['ldap_link']);
107 if (is_readable($f)) { include_once($f); };
108 if (isset($GLOBALS['ldap_link']))
109 $connexion['ldap'] = array('link' => $GLOBALS['ldap_link'],
110 'base' => $GLOBALS['ldap_base']);
111 else spip_log("connection LDAP $serveur mal definie dans $f");
112 if (isset($GLOBALS['ldap_champs']))
113 $connexion['ldap']['attributes'] = $GLOBALS['ldap_champs'];
114 } else spip_log("connection LDAP $serveur inconnue");
116 return $connexions_ldap[$serveur]=$connexion['ldap'];
120 * Retrouver un login, et verifier son pass si demande par $checkpass
122 * @param string $login
123 * @param string $pass
124 * @param bool $checkpass
125 * @param string $serveur
127 * le login trouve ou chaine vide si non trouve
129 function auth_ldap_search($login, $pass, $checkpass=true, $serveur=''){
130 // Securite anti-injection et contre un serveur LDAP laxiste
131 $login_search = preg_replace("/[^-@._\s\d\w]/", "", $login);
132 if (!strlen($login_search) OR ($checkpass AND !strlen($pass)) )
135 // verifier la connexion
136 if (!$ldap = auth_ldap_connect($serveur))
139 $ldap_link = $ldap['link'];
140 $ldap_base = $ldap['base'];
141 $desc = $ldap['attributes'] ?
$ldap['attributes'] : $GLOBALS['ldap_attributes'] ;
143 $logins = is_array($desc['login']) ?
$desc['login'] : array($desc['login']);
145 // Tenter une recherche pour essayer de retrouver le DN
146 foreach($logins as $att) {
147 $result = @ldap_search
($ldap_link, $ldap_base, "$att=$login_search", array("dn"));
148 $info = @ldap_get_entries
($ldap_link, $result);
149 // Ne pas accepter les resultats si plus d'une entree
150 // (on veut un attribut unique)
152 if (is_array($info) AND $info['count'] == 1) {
153 $dn = $info[0]['dn'];
154 if (!$checkpass) return $dn;
155 if (@ldap_bind
($ldap_link, $dn, $pass)) return $dn;
159 if ($checkpass AND !isset($dn)) {
160 // Si echec, essayer de deviner le DN
161 foreach($logins as $att) {
162 $dn = "$att=$login_search, $ldap_base";
163 if (@ldap_bind
($ldap_link, $dn, $pass))
164 return "$att=$login_search, $ldap_base";
174 * @param string $serveur
177 function auth_ldap_retrouver($dn, $desc=array(), $serveur='')
179 // Lire les infos sur l'utilisateur a partir de son DN depuis LDAP
181 if (!$ldap = spip_connect_ldap($serveur)) {
182 spip_log("ldap $serveur injoignable");
186 $ldap_link = $ldap['link'];
188 $desc = $ldap['attributes'] ?
$ldap['attributes'] : $GLOBALS['ldap_attributes'] ;
189 unset($desc['login']);
191 $result = @ldap_read
($ldap_link, $dn, "objectClass=*", array_values($desc));
193 if (!$result) return array();
195 // Recuperer les donnees du premier (unique?) compte de l'auteur
196 $val = @ldap_get_entries
($ldap_link, $result);
197 if (!is_array($val) OR !is_array($val[0])) return array();
200 // Convertir depuis UTF-8 (jeu de caracteres par defaut)
201 include_spip('inc/charsets');
203 foreach ($desc as $k => $v)
204 $desc[$k] = importer_charset($val[strtolower($v)][0], 'utf-8');
210 * Retrouver le login de quelqu'un qui cherche a se loger
212 * @param string $login
213 * @param string $serveur
216 function auth_ldap_retrouver_login($login, $serveur='')
218 return auth_ldap_search($login, '', false, $serveur) ?
$login : '';
222 * Verification de la validite d'un mot de passe pour le mode d'auth concerne
223 * c'est ici que se font eventuellement les verifications de longueur mini/maxi
226 * @param string $new_pass
227 * @param string $login
228 * le login de l'auteur : permet de verifier que pass et login sont differents
229 * meme a la creation lorsque l'auteur n'existe pas encore
230 * @param int $id_auteur
231 * si auteur existant deja
232 * @param string $serveur
234 * message d'erreur si login non valide, chaine vide sinon
236 function auth_ldap_verifier_pass($login, $new_pass, $id_auteur=0, $serveur=''){
237 include_spip('auth/spip');
238 return auth_spip_verifier_pass($login, $new_pass, $id_auteur, $serveur);
242 * Informer du droit de modifier ou non le pass
244 * On ne peut pas détecter a l'avance si l'autorisation sera donnee, il
245 * faudra informer l'utilisateur a posteriori si la modif n'a pas pu se
247 * @param string $serveur
249 * pour un auteur LDAP, a priori toujours true, a conditiion que le serveur
250 * l'autorise: par exemple, pour OpenLDAP il faut avoir dans slapd.conf:
251 * access to attr=userPassword
255 function auth_ldap_autoriser_modifier_pass($serveur=''){
260 * Fonction de modification du mot de passe
262 * On se bind au LDAP cette fois sous l'identite de l'utilisateur, car le
263 * compte generique defini dans config/ldap.php n'a generalement pas (et
264 * ne devrait pas avoir) les droits suffisants pour faire la modification.
268 * @param string $serveur
270 * informe du succes ou de l'echec du changement du mot de passe
272 function auth_ldap_modifier_pass($login, $new_pass, $id_auteur, $serveur=''){
273 if (is_null($new_pass) OR auth_ldap_verifier_pass($login, $new_pass,$id_auteur,$serveur)!='') {
276 if (!$ldap = auth_ldap_connect($serveur))
278 $link = $ldap['link'];
279 include_spip("inc/session");
280 $dn = session_get('ldap_dn');
284 if (!ldap_bind($link, $dn, session_get('ldap_password'))) {
287 $encoded_pass = "{MD5}".base64_encode(pack("H*",md5($new_pass)));
288 $success = ldap_mod_replace($link, $dn, array('userPassword' => $encoded_pass));