3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2014 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
13 if (!defined('_ECRIRE_INC_VERSION')) return;
15 include_spip('base/abstract_sql');
21 * Fonction d'authentification. Retourne:
22 * - URL de connexion si on ne sait rien (pas de cookie, pas Auth_user);
23 * - URL de connexion si on ne sait rien (pas de cookie, pas Auth_user);
24 * - un tableau si visiteur sans droit (tableau = sa ligne SQL)
25 * - code numerique d'erreur SQL
26 * - une chaine vide si autorisation a penetrer dans l'espace prive.
29 * http://doc.spip.org/@inc_auth_dist
31 * @return array|int|string
33 function inc_auth_dist() {
35 global $connect_login ;
39 if ($row) return auth_init_droits($row);
41 if (!$connect_login) return auth_a_loger();
43 // Cas ou l'auteur a ete identifie mais on n'a pas d'info sur lui
44 // C'est soit parce que la base est inutilisable,
45 // soit parce que la table des auteurs a changee (restauration etc)
46 // Pas la peine d'insister.
47 // Renvoyer le nom fautif et une URL de remise a zero
50 return array('login' => $connect_login,
51 'site' => generer_url_public('', "action=logout&logout=prive"));
53 $n = intval(sql_errno());
54 spip_log("Erreur base de donnees $n " . sql_error());
59 * fonction appliquee par ecrire/index sur le resultat de la precedente
60 * en cas de refus de connexion.
61 * Retourne un message a afficher ou redirige illico.
64 * @return array|string
66 function auth_echec($raison)
68 include_spip('inc/minipres');
69 include_spip('inc/headers');
70 // pas authentifie. Pourquoi ?
71 if (is_string($raison)) {
72 // redirection vers une page d'authentification
73 // on ne revient pas de cette fonction
74 // sauf si pb de header
75 $raison = redirige_formulaire($raison);
76 } elseif (is_int($raison)) {
77 // erreur SQL a afficher
78 $raison = minipres(_T('info_travaux_titre'), _T('titre_probleme_technique'). "<p><tt>".sql_errno()." ".sql_error()."</tt></p>");
79 } elseif (@$raison['statut']) {
80 // un simple visiteur n'a pas acces a l'espace prive
81 spip_log("connexion refusee a " . @$raison['id_auteur']);
82 $raison = minipres(_T('avis_erreur_connexion'),_T('avis_erreur_visiteur'));
84 // auteur en fin de droits ...
86 $raison = minipres(_T('avis_erreur_connexion'),
88 . _T('texte_inc_auth_1',
89 array('auth_login' => $raison['login']))
91 . _T('texte_inc_auth_2')
93 . _T('texte_inc_auth_3'));
99 * Retourne la description d'un authentifie par cookie ou http_auth
100 * Et affecte la globale $connect_login
102 * @return array|bool|string
106 global $auth_can_disconnect, $ignore_auth_http, $ignore_remote_user;
107 global $connect_login ;
110 // Initialiser variables (eviter hacks par URL)
115 $auth_can_disconnect = false;
118 // Recuperer les donnees d'identification
121 // Session valide en cours ?
122 if (isset($_COOKIE['spip_session'])) {
123 $session = charger_fonction('session', 'inc');
124 if ($id_auteur = $session()
125 OR $id_auteur===0 // reprise sur restauration
127 $auth_can_disconnect = true;
128 $connect_login = $GLOBALS['visiteur_session']['login'];
129 } else unset($_COOKIE['spip_session']);
132 // Essayer auth http si significatif
133 // (ignorer les login d'intranet independants de spip)
134 if (!$ignore_auth_http) {
136 (isset($_SERVER['PHP_AUTH_USER']) AND isset($_SERVER['PHP_AUTH_PW'])
137 AND $r = lire_php_auth($_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW']))
139 // Si auth http differtente de basic, PHP_AUTH_PW
140 // est indisponible mais tentons quand meme pour
141 // autocreation via LDAP
142 (isset($_SERVER['REMOTE_USER'])
143 AND $r = lire_php_auth($_SERVER['PHP_AUTH_USER'] = $_SERVER['REMOTE_USER'], ''))
146 $_SERVER['PHP_AUTH_PW'] = '';
147 $auth_can_disconnect = true;
148 $GLOBALS['visiteur_session'] = $r;
149 $connect_login = $GLOBALS['visiteur_session']['login'];
150 $id_auteur = $r['id_auteur'];
152 // cas de la session en plus de PHP_AUTH
153 /* if ($id_auteur != $r['id_auteur']){
154 spip_log("vol de session $id_auteur" . join(', ', $r));
155 unset($_COOKIE['spip_session']);
160 // Authentification .htaccess old style, car .htaccess semble
161 // souvent definir *aussi* PHP_AUTH_USER et PHP_AUTH_PW
162 else if (isset($_SERVER['REMOTE_USER']))
163 $connect_login = $_SERVER['REMOTE_USER'];
166 $where = (is_numeric($id_auteur)
167 /*AND $id_auteur>0*/ // reprise lors des restaurations
169 "id_auteur=$id_auteur" :
170 (!strlen($connect_login) ?
'' : "login=" . sql_quote($connect_login,'','text'));
172 if (!$where) return '';
174 // Trouver les autres infos dans la table auteurs.
175 // le champ 'quand' est utilise par l'agenda
177 return sql_fetsel("*, en_ligne AS quand", "spip_auteurs", "$where AND statut!='5poubelle'");
181 * Init des globales pour tout l'espace prive si visiteur connu
182 * Le tableau global visiteur_session contient toutes les infos pertinentes et
183 * a jour (tandis que $visiteur_session peut avoir des valeurs un peu datees
184 * s'il est pris dans le fichier de session)
185 * Les plus utiles sont aussi dans les variables simples ci-dessus
186 * si la globale est vide ce n'est pas un tableau, on la force pour empecher un warning
189 * @return array|string
191 function auth_init_droits($row)
193 global $connect_statut, $connect_toutes_rubriques, $connect_id_rubrique, $connect_login, $connect_id_auteur;
195 if ($row['statut']=='nouveau'){
196 include_spip('action/inscrire_auteur');
197 $row = confirmer_statut_inscription($row);
200 $connect_id_auteur = $row['id_auteur'];
201 $connect_login = $row['login'];
202 $connect_statut = $row['statut'];
204 $GLOBALS['visiteur_session'] = array_merge((array)$GLOBALS['visiteur_session'], $row);
206 // au cas ou : ne pas memoriser les champs sensibles
207 unset($GLOBALS['visiteur_session']['pass']);
208 unset($GLOBALS['visiteur_session']['htpass']);
209 unset($GLOBALS['visiteur_session']['alea_actuel']);
210 unset($GLOBALS['visiteur_session']['alea_futur']);
212 // creer la session au besoin
213 if (!isset($_COOKIE['spip_session'])) {
214 $session = charger_fonction('session', 'inc');
215 $spip_session = $session($row);
218 // reinjecter les preferences_auteur apres le reset de spip_session
219 // car utilisees au retour par auth_loger()
220 $r = @unserialize
($row['prefs']);
221 $GLOBALS['visiteur_session']['prefs'] = ($r ?
$r : array());
222 // si prefs pas definies, les definir par defaut
223 if (!isset($GLOBALS['visiteur_session']['prefs']['couleur'])){
224 $GLOBALS['visiteur_session']['prefs']['couleur'] = 1;
225 $GLOBALS['visiteur_session']['prefs']['display'] = 2;
226 $GLOBALS['visiteur_session']['prefs']["display_navigation"] = "navigation_avec_icones";
227 $GLOBALS['visiteur_session']['prefs']["display_outils"] = "oui";
230 $GLOBALS['visiteur_session'] = pipeline('preparer_visiteur_session',array('args'=>array('row'=>$row),'data'=>$GLOBALS['visiteur_session']));
232 // Etablir les droits selon le codage attendu
233 // dans ecrire/index.php ecrire/prive.php
235 // Pas autorise a acceder a ecrire ? renvoyer le tableau
236 // A noter : le premier appel a autoriser() a le bon gout
237 // d'initialiser $GLOBALS['visiteur_session']['restreint'],
238 // qui ne figure pas dans le fichier de session
239 include_spip('inc/autoriser');
241 if (!autoriser('ecrire'))
244 // autoriser('ecrire') ne laisse passer que les Admin et les Redac
249 if ($connect_statut == '0minirezo') {
250 if (is_array($GLOBALS['visiteur_session']['restreint']))
251 $connect_id_rubrique = $GLOBALS['visiteur_session']['restreint'];
252 $connect_toutes_rubriques = !$connect_id_rubrique;
254 // Pour les redacteurs, inc_version a fait l'initialisation minimale
256 return ''; // i.e. pas de pb.
260 * Retourne l'url de connexion
264 function auth_a_loger()
266 $redirect = generer_url_public('login',
267 "url=" . rawurlencode(self('&',true)), '&');
269 // un echec au "bonjour" (login initial) quand le statut est
270 // inconnu signale sans doute un probleme de cookies
271 if (isset($_GET['bonjour']))
272 $redirect = parametre_url($redirect,
274 (!isset($GLOBALS['visiteur_session']['statut'])
284 * Tracer en base la date de derniere connexion de l'auteur
285 * http://doc.spip.org/@auth_trace
288 * @param null|string $date
290 function auth_trace($row, $date=null)
292 // Indiquer la connexion. A la minute pres ca suffit.
293 if (!is_numeric($connect_quand = $row['quand']))
294 $connect_quand = strtotime($connect_quand);
297 $date = date('Y-m-d H:i:s');
299 if (abs(strtotime($date) - $connect_quand) >= 60) {
300 sql_updateq("spip_auteurs", array("en_ligne" => $date), "id_auteur=" .$row['id_auteur']);
301 $row['en_ligne'] = $date;
304 pipeline('trig_auth_trace',array('args'=>array('row'=>$row,'date'=>$date)));
308 /** ----------------------------------------------------------------------------
309 * API Authentification, gestion des identites centralisees
313 * Fonction aiguillage, privee
314 * @param string $fonction
316 * @param mixed $defaut
319 function auth_administrer($fonction,$args,$defaut=false){
320 $auth_methode = array_shift($args);
321 $auth_methode = $auth_methode ?
$auth_methode : 'spip'; // valeur par defaut au cas ou
322 if ($auth = charger_fonction($auth_methode,'auth',true)
323 AND function_exists($f="auth_{$auth_methode}_$fonction")
325 return call_user_func_array($f, $args);
331 * Pipeline pour inserer du contenu dans le formulaire de login
336 function auth_formulaire_login($flux){
337 foreach ($GLOBALS['liste_des_authentifications'] as $methode)
338 $flux = auth_administrer('formulaire_login',array($methode,$flux),$flux);
345 * Retrouver le login interne lie a une info login saisie
346 * la saisie peut correspondre a un login delegue
347 * qui sera alors converti en login interne apres verification
349 * @param string $login
350 * @param string $serveur
351 * @return string/bool
353 function auth_retrouver_login($login, $serveur=''){
354 if (!spip_connect($serveur)) {
355 include_spip('inc/minipres');
356 echo minipres(_T('info_travaux_titre'),
357 _T('titre_probleme_technique'));
361 foreach ($GLOBALS['liste_des_authentifications'] as $methode) {
362 if ($auteur = auth_administrer('retrouver_login',array($methode, $login, $serveur))) {
371 * informer sur un login
372 * Ce dernier transmet le tableau ci-dessous a la fonction JS informer_auteur
373 * Il est invoque par la fonction JS actualise_auteur via la globale JS
374 * page_auteur=#URL_PAGE{informer_auteur} dans le squelette login
375 * N'y aurait-il pas plus simple ?
377 * @param string $login
378 * @param string $serveur
381 function auth_informer_login($login, $serveur=''){
383 OR !$login = auth_retrouver_login($login, $serveur)
384 OR !$row = sql_fetsel('*','spip_auteurs','login='.sql_quote($login,$serveur,'text'),'','','','',$serveur)
388 $prefs = unserialize($row['prefs']);
390 'id_auteur'=>$row['id_auteur'],
391 'login'=>$row['login'],
392 'cnx' => ($prefs['cnx'] == 'perma') ?
'1' : '0',
393 'logo' => recuperer_fond('formulaires/inc-logo_auteur', $row),
396 // desactiver le hash md5 si pas auteur spip ?
397 if ($row['source']!=='spip'){
398 $row['alea_actuel']= '';
399 $row['alea_futur']= '';
403 return auth_administrer('informer_login',array($row['source'],$infos, $row, $serveur),$infos);
408 * Essayer les differentes sources d'authenfication dans l'ordre specifie.
409 * S'en souvenir dans visiteur_session['auth']
411 * @param string $login
412 * @param string $password
413 * @param string $serveur
416 function auth_identifier_login($login, $password, $serveur=''){
418 foreach ($GLOBALS['liste_des_authentifications'] as $methode) {
419 if ($auth = charger_fonction($methode, 'auth',true)){
420 $auteur = $auth($login, $password, $serveur);
421 if (is_array($auteur) AND count($auteur)) {
422 spip_log("connexion de $login par methode $methode");
423 $auteur['auth'] = $methode;
426 elseif (is_string($auteur))
427 $erreur .= "$auteur ";
434 * Fournir une url de retour apres login par un SSO
435 * pour finir l'authentification
437 * @param string $auth_methode
438 * @param string $login
439 * @param string $redirect
440 * @param string $serveur
443 function auth_url_retour_login($auth_methode, $login, $redirect='', $serveur=''){
444 $securiser_action = charger_fonction('securiser_action','inc');
445 return $securiser_action('auth', "$auth_methode/$login", $redirect, true);
448 function auth_terminer_identifier_login($auth_methode, $login, $serveur=''){
449 $args = func_get_args();
450 $auteur = auth_administrer('terminer_identifier_login',$args);
455 * Loger un auteur suite a son identification
457 * @param array $auteur
460 function auth_loger($auteur){
461 if (!is_array($auteur) OR !count($auteur))
464 // initialiser et poser le cookie de session
465 unset($_COOKIE['spip_session']);
466 auth_init_droits($auteur);
468 // initialiser les prefs
469 $p = $GLOBALS['visiteur_session']['prefs'];
470 $p['cnx'] = ($auteur['cookie'] == 'oui') ?
'perma' : '';
472 sql_updateq('spip_auteurs',
473 array('prefs' => serialize($p)),
474 "id_auteur=" . $auteur['id_auteur']);
476 // Si on est admin, poser le cookie de correspondance
477 include_spip('inc/cookie');
478 if ($auteur['statut'] == '0minirezo') {
479 spip_setcookie('spip_admin', '@'.$auteur['login'],
480 time() +
7 * 24 * 3600);
482 // sinon le supprimer ...
484 spip_setcookie('spip_admin', '',1);
487 // bloquer ici le visiteur qui tente d'abuser de ses droits
493 function auth_deloger(){
494 $logout = charger_fonction('logout','action');
499 * Tester la possibilite de modifier le login d'authentification
500 * pour la methode donnee
502 * @param string $auth_methode
503 * @param string $serveur
506 function auth_autoriser_modifier_login($auth_methode, $serveur=''){
507 $args = func_get_args();
508 return auth_administrer('autoriser_modifier_login',$args);
512 * Verifier la validite d'un nouveau login pour modification
513 * pour la methode donnee
515 * @param string $auth_methode
516 * @param string $new_login
517 * @param int $id_auteur
518 * @param string $serveur
520 * message d'erreur ou chaine vide si pas d'erreur
522 function auth_verifier_login($auth_methode, $new_login, $id_auteur=0, $serveur=''){
523 $args = func_get_args();
524 return auth_administrer('verifier_login',$args,'');
528 * Modifier le login d'un auteur pour la methode donnee
530 * @param string $auth_methode
531 * @param string $new_login
532 * @param int $id_auteur
533 * @param string $serveur
536 function auth_modifier_login($auth_methode, $new_login, $id_auteur, $serveur=''){
537 $args = func_get_args();
538 return auth_administrer('modifier_login',$args);
542 * Tester la possibilite de modifier le pass
543 * pour la methode donnee
545 * @param string $auth_methode
546 * @param string $serveur
550 function auth_autoriser_modifier_pass($auth_methode, $serveur=''){
551 $args = func_get_args();
552 return auth_administrer('autoriser_modifier_pass',$args);
556 * Verifier la validite d'un pass propose pour modification
557 * pour la methode donnee
559 * @param string $auth_methode
560 * @param string $login
561 * @param string $new_pass
562 * @param int $id_auteur
563 * @param string $serveur
565 * message d'erreur ou chaine vide si pas d'erreur
567 function auth_verifier_pass($auth_methode, $login, $new_pass, $id_auteur=0, $serveur=''){
568 $args = func_get_args();
569 return auth_administrer('verifier_pass',$args,'');
573 * Modifier le mot de passe d'un auteur
574 * pour la methode donnee
576 * @param string $auth_methode
577 * @param string $login
578 * @param string $new_pass
579 * @param int $id_auteur
580 * @param string $serveur
584 function auth_modifier_pass($auth_methode, $login, $new_pass, $id_auteur, $serveur=''){
585 $args = func_get_args();
586 return auth_administrer('modifier_pass',$args);
590 * Synchroniser un compte sur une base distante pour la methode
591 * donnee lorsque des modifications sont faites dans la base auteur
593 * @param string|bool $auth_methode
594 * ici true permet de forcer la synchronisation de tous les acces pour toutes les methodes
595 * @param int $id_auteur
596 * @param array $champs
597 * @param array $options
598 * @param string $serveur
601 function auth_synchroniser_distant($auth_methode=true, $id_auteur=0, $champs=array(), $options = array(), $serveur=''){
602 $args = func_get_args();
603 if ($auth_methode===true OR (isset($options['all']) AND $options['all']==true)){
604 $options['all'] = true; // ajouter une option all=>true pour chaque auth
605 $args = array(true, $id_auteur, $champs, $options, $serveur);
606 foreach ($GLOBALS['liste_des_authentifications'] as $methode) {
608 array_unshift($args,$methode);
609 auth_administrer('synchroniser_distant',$args);
613 auth_administrer('synchroniser_distant',$args);
619 * @param string $login
621 * @param string $serveur
624 function lire_php_auth($login, $pw, $serveur=''){
626 $row = sql_fetsel('*', 'spip_auteurs', 'login=' . sql_quote($login,$serveur,'text'),'','','','',$serveur);
629 if (spip_connect_ldap($serveur)
630 AND $auth_ldap = charger_fonction('ldap', 'auth', true))
631 return $auth_ldap($login, $pw, $serveur, true);
634 // su pas de source definie
635 // ou auth/xxx introuvable, utiliser 'spip'
636 if (!$auth_methode = $row['source']
637 OR !$auth = charger_fonction($auth_methode, 'auth', true))
638 $auth = charger_fonction('spip', 'auth', true);
642 $auteur = $auth($login, $pw, $serveur, true);
643 // verifier que ce n'est pas un message d'erreur
644 if (is_array($auteur) AND count($auteur))
650 * entete php_auth (est-encore utilise ?)
653 * @param string $raison
654 * @param string $retour
657 * @param string $lien
659 function ask_php_auth($pb, $raison, $retour='', $url='', $re='', $lien='') {
660 @Header
("WWW-Authenticate: Basic realm=\"espace prive\"");
661 @Header
("HTTP/1.0 401 Unauthorized");
663 $public = generer_url_public();
664 $ecrire = generer_url_ecrire();
665 $retour = $retour?
$retour:_T('icone_retour');
666 $corps .= "<p>$raison</p>[<a href='$public'>$retour</a>] ";
668 $corps .= "[<a href='" . generer_url_action('cookie',"essai_auth_http=oui&$url") . "'>$re</a>]";
672 $corps .= " [<a href='$ecrire'>"._T('login_espace_prive')."</a>]";
673 include_spip('inc/minipres');
674 echo minipres($pb,$corps);