3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2014 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
13 if (!defined('_ECRIRE_INC_VERSION')) return;
16 * Authentifie et si ok retourne le tableau de la ligne SQL de l'utilisateur
17 * Si risque de secu repere a l'installation retourne False
19 * @param string $login
21 * @param string $serveur
22 * @param bool $phpauth
25 function auth_spip_dist ($login, $pass, $serveur='', $phpauth=false) {
28 $login = auth_spip_retrouver_login($login);
29 // login inconnu, n'allons pas plus loin
30 if (!$login) return array();
33 $shapass = $shanext = "";
35 if (preg_match(",^\{([0-9a-f]{64});([0-9a-f]{64})\}$,i",$pass,$regs)){
39 // compat avec une base mixte md5/sha256 : le js a envoye les 2 hash
40 elseif (preg_match(",^\{([0-9a-f]{64});([0-9a-f]{64});([0-9a-f]{32});([0-9a-f]{32})\}$,i",$pass,$regs)){
44 //$md5next = $regs[4];
47 // si envoi non crypte, crypter maintenant
49 $row = sql_fetsel("alea_actuel, alea_futur", "spip_auteurs", "login=" . sql_quote($login,$serveur,'text'),'','','','',$serveur);
52 include_spip('auth/sha256.inc');
53 $shapass = _nano_sha256($row['alea_actuel'] . $pass);
54 $shanext = _nano_sha256($row['alea_futur'] . $pass);
55 $md5pass = md5($row['alea_actuel'] . $pass);
59 // login inexistant ou mot de passe vide
60 if (!$shapass AND !$md5pass) return array();
62 $row = sql_fetsel("*", "spip_auteurs", "login=" . sql_quote($login,$serveur,'text') . " AND pass=" . sql_quote($shapass,$serveur,'text') . " AND statut<>'5poubelle'",'','','','',$serveur);
64 // compat avec les anciennes bases en md5
65 if (!$row AND $md5pass)
66 $row = sql_fetsel("*", "spip_auteurs", "login=" . sql_quote($login,$serveur,'text') . " AND pass=" . sql_quote($md5pass,$serveur,'text') . " AND statut<>'5poubelle'",'','','','',$serveur);
68 // login/mot de passe incorrect
69 if (!$row) return array();
71 // fait tourner le codage du pass dans la base
72 // sauf si phpauth : cela reviendrait a changer l'alea a chaque hit, et aucune action verifiable par securiser_action()
73 if ($shanext AND !$phpauth) {
75 include_spip('inc/acces'); // pour creer_uniqid
76 @sql_update
('spip_auteurs', array('alea_actuel' => 'alea_futur', 'pass' => sql_quote($shanext,$serveur,'text'), 'alea_futur' => sql_quote(creer_uniqid(),$serveur,'text')), "id_auteur=" . $row['id_auteur'].' AND pass IN ('.sql_quote($shapass,$serveur,'text').', '.sql_quote($md5pass,$serveur,'text').')','',$serveur);
77 // En profiter pour verifier la securite de tmp/
78 // Si elle ne fonctionne pas a l'installation, prevenir
79 if (!verifier_htaccess(_DIR_TMP
) AND defined('_ECRIRE_INSTALL'))
86 * Completer le formulaire de login avec le js ou les saisie specifiques a ce mode d'auth
91 function auth_spip_formulaire_login($flux){
92 // faut il encore envoyer md5 ?
93 // on regarde si il reste des pass md5 en base pour des auteurs en statut pas poubelle
94 // les hash md5 ont une longueur 32, les sha 64
95 // en evitant une requete sql a chaque affichage du formulaire login sans session
96 // (perf issue pour les sites qui mettent le formulaire de login sur la home)
98 if (!isset($GLOBALS['meta']['sha_256_only']) OR _request('var_mode')){
99 $compat_md5 = sql_countsel("spip_auteurs", "length(pass)=32 AND statut<>'poubelle'");
100 if ($compat_md5 AND isset($GLOBALS['meta']['sha_256_only'])) effacer_meta('sha_256_only');
101 if (!$compat_md5) ecrire_meta('sha_256_only','oui');
104 // javascript qui gere la securite du login en evitant de faire circuler le pass en clair
106 ($compat_md5?
'<script type="text/javascript" src="'._DIR_JAVASCRIPT
.'md5.js"></script>':'')
107 .'<script type="text/javascript" src="'._DIR_JAVASCRIPT
.'login-sha-min.js"></script>'
108 .'<script type="text/javascript">/*<![CDATA[*/'
109 ."var alea_actuel='".$flux['args']['contexte']['_alea_actuel']."';"
110 ."var alea_futur='".$flux['args']['contexte']['_alea_futur']."';"
111 ."var login='".$flux['args']['contexte']['var_login']."';"
112 ."var page_auteur = '".generer_url_public('informer_auteur')."';"
113 ."var informe_auteur_en_cours = false;"
114 ."var attente_informe = 0;"
115 ."var compat_md5 = ".($compat_md5?
"true;":"false;")
118 .after(\"<em id='pass_securise'><img src='".chemin_image('cadenas-16.png')."' width='16' height='16' alt='" . attribut_html(_T('login_securise')) . "' title='" . attribut_html(_T('login_securise')) . "' \/><\/em>\");
119 affiche_login_secure();
120 jQuery('#var_login').change(actualise_auteur);
121 jQuery('form#formulaire_login').submit(login_submit);
130 * Informer du droit de modifier ou non son login
131 * @param string $serveur
133 * toujours true pour un auteur cree dans SPIP
135 function auth_spip_autoriser_modifier_login($serveur=''){
136 if (strlen($serveur))
137 return false; // les fonctions d'ecriture sur base distante sont encore incompletes
142 * Verification de la validite d'un login pour le mode d'auth concerne
144 * @param string $new_login
145 * @param int $id_auteur
146 * si auteur existant deja
147 * @param string $serveur
149 * message d'erreur si login non valide, chaine vide sinon
151 function auth_spip_verifier_login($new_login, $id_auteur=0, $serveur=''){
152 // login et mot de passe
153 if (strlen($new_login)){
154 if (strlen($new_login) < _LOGIN_TROP_COURT
)
155 return _T('info_login_trop_court_car_pluriel',array('nb'=>_LOGIN_TROP_COURT
));
157 $n = sql_countsel('spip_auteurs', "login=" . sql_quote($new_login) . " AND id_auteur!=".intval($id_auteur)." AND statut!='5poubelle'",'','',$serveur);
159 return _T('info_login_existant');
166 * Modifier le login d'un auteur SPIP
168 * @param string $new_login
169 * @param int $id_auteur
170 * @param string $serveur
173 function auth_spip_modifier_login($new_login, $id_auteur, $serveur=''){
174 if (is_null($new_login) OR auth_spip_verifier_login($new_login,$id_auteur,$serveur)!='')
176 if (!$id_auteur = intval($id_auteur)
177 OR !$auteur = sql_fetsel('login','spip_auteurs','id_auteur='.intval($id_auteur),'','','','',$serveur))
179 if ($new_login == $auteur['login'])
180 return true; // on a rien fait mais c'est bon !
182 include_spip('action/editer_auteur');
184 // vider le login des auteurs a la poubelle qui avaient ce meme login
185 if (strlen($new_login)){
186 $anciens = sql_allfetsel('id_auteur','spip_auteurs','login='.sql_quote($new_login,$serveur,'text')." AND statut='5poubelle'",'','','','',$serveur);
187 while ($row = array_pop($anciens)){
188 auteur_modifier($row['id_auteur'], array('login'=>''), true); // manque la gestion de $serveur
192 auteur_modifier($id_auteur, array('login'=>$new_login), true); // manque la gestion de $serveur
198 * Retrouver le login de quelqu'un qui cherche a se loger
199 * Reconnaitre aussi ceux qui donnent leur nom ou email au lieu du login
201 * @param string $login
202 * @param string $serveur
205 function auth_spip_retrouver_login($login, $serveur=''){
206 if (!strlen($login)) return null; // pas la peine de requeter
207 $l = sql_quote($login,$serveur,'text');
208 if ($r = sql_getfetsel('login', 'spip_auteurs',
209 "statut<>'5poubelle'" .
210 " AND (length(pass)>0)" .
211 " AND (login=$l)",'','','','',$serveur))
213 // Si pas d'auteur avec ce login
214 // regarder s'il a saisi son nom ou son mail.
215 // Ne pas fusionner avec la requete precedente
216 // car un nom peut etre homonyme d'un autre login
217 else return sql_getfetsel('login', 'spip_auteurs',
218 "statut<>'5poubelle'" .
219 " AND (length(pass)>0)" .
220 " AND (login<>'' AND (nom=$l OR email=$l))",'','','','',$serveur);
225 * informer sur un login
226 * Ce dernier transmet le tableau ci-dessous a la fonction JS informer_auteur
227 * Il est invoque par la fonction JS actualise_auteur via la globale JS
228 * page_auteur=#URL_PAGE{informer_auteur} dans le squelette login
229 * N'y aurait-il pas plus simple ?
231 * @param array $infos
233 * @param string $serveur
236 function auth_spip_informer_login($infos, $row, $serveur=''){
238 // pour la methode SPIP on a besoin des alea en plus pour encoder le pass avec
239 $infos['alea_actuel'] = $row['alea_actuel'];
240 $infos['alea_futur'] = $row['alea_futur'];
246 * Informer du droit de modifier ou non le pass
247 * @param string $serveur
249 * toujours true pour un auteur cree dans SPIP
251 function auth_spip_autoriser_modifier_pass($serveur=''){
252 if (strlen($serveur))
253 return false; // les fonctions d'ecriture sur base distante sont encore incompletes
259 * Verification de la validite d'un mot de passe pour le mode d'auth concerne
260 * c'est ici que se font eventuellement les verifications de longueur mini/maxi
263 * @param string $login
264 * Le login de l'auteur : permet de verifier que pass et login sont differents
265 * meme a la creation lorsque l'auteur n'existe pas encore
266 * @param string $new_pass
267 * Nouveau mot de passe
268 * @param int $id_auteur
269 * si auteur existant deja
270 * @param string $serveur
272 * message d'erreur si login non valide, chaine vide sinon
274 function auth_spip_verifier_pass($login, $new_pass, $id_auteur=0, $serveur=''){
275 // login et mot de passe
276 if (strlen($new_pass) < _PASS_LONGUEUR_MINI
)
277 return _T('info_passe_trop_court_car_pluriel',array('nb'=>_PASS_LONGUEUR_MINI
));
283 * Modifier le mot de passe de l'auteur sur le serveur concerne
284 * en s'occupant du hash et companie
285 * @param string $login
286 * @param string $new_pass
287 * @param int $id_auteur
288 * @param string $serveur
291 function auth_spip_modifier_pass($login, $new_pass, $id_auteur, $serveur=''){
292 if (is_null($new_pass) OR auth_spip_verifier_pass($login, $new_pass,$id_auteur,$serveur)!='')
295 if (!$id_auteur = intval($id_auteur)
296 OR !sql_fetsel('login','spip_auteurs','id_auteur='.intval($id_auteur),'','','','',$serveur))
300 include_spip('inc/acces');
301 include_spip('auth/sha256.inc');
302 $htpass = generer_htpass($new_pass);
303 $alea_actuel = creer_uniqid();
304 $alea_futur = creer_uniqid();
305 $pass = _nano_sha256($alea_actuel.$new_pass);
307 $c['htpass'] = $htpass;
308 $c['alea_actuel'] = $alea_actuel;
309 $c['alea_futur'] = $alea_futur;
312 include_spip('action/editer_auteur');
313 auteur_modifier($id_auteur, $c, true); // manque la gestion de $serveur
315 return true; // on a bien modifie le pass
319 * Synchroniser les fichiers htpasswd
321 * @param int $id_auteur
322 * @param array $champs
323 * @param array $options
324 * all=>true permet de demander la regeneration complete des acces apres operation en base (import, upgrade)
325 * @param string $serveur
328 function auth_spip_synchroniser_distant($id_auteur, $champs, $options = array(), $serveur=''){
329 // ne rien faire pour une base distante : on ne sait pas regenerer les htaccess
330 if (strlen($serveur))
332 // si un login, pass ou statut a ete modifie
333 // regenerer les fichier htpass
334 if (isset($champs['login'])
335 OR isset($champs['pass'])
336 OR isset($champs['statut'])
337 OR (isset($options['all']) AND $options['all'])
340 $htaccess = _DIR_RESTREINT
. _ACCESS_FILE_NAME
;
341 $htpasswd = _DIR_TMP
. _AUTH_USER_FILE
;
343 // Cette variable de configuration peut etre posee par un plugin
344 // par exemple acces_restreint ;
345 // si .htaccess existe, outrepasser spip_meta
346 if (($GLOBALS['meta']['creer_htpasswd'] != 'oui')
347 AND !@file_exists
($htaccess)) {
348 spip_unlink($htpasswd);
349 spip_unlink($htpasswd."-admin");
353 # remarque : ici on laisse passer les "nouveau" de maniere a leur permettre
354 # de devenir redacteur le cas echeant (auth http)... a nettoyer
355 // attention, il faut au prealable se connecter a la base (necessaire car utilise par install)
357 $p1 = ''; // login:htpass pour tous
358 $p2 = ''; // login:htpass pour les admins
359 $s = sql_select("login, htpass, statut", "spip_auteurs", sql_in("statut", array('1comite','0minirezo','nouveau')));
360 while ($t = sql_fetch($s)) {
361 if (strlen($t['login']) AND strlen($t['htpass'])) {
362 $p1 .= $t['login'].':'.$t['htpass']."\n";
363 if ($t['statut'] == '0minirezo')
364 $p2 .= $t['login'].':'.$t['htpass']."\n";
369 ecrire_fichier($htpasswd, $p1);
370 ecrire_fichier($htpasswd.'-admin', $p2);
371 spip_log("Ecriture de $htpasswd et $htpasswd-admin");