www/prive/formulaires/login.php

   1 <?php
   2
   3 /***************************************************************************\
   4  *  SPIP, Systeme de publication pour l'internet                           *
   5  *                                                                         *
   6  *  Copyright (c) 2001-2017                                                *
   7  *  Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James  *
   8  *                                                                         *
   9  *  Ce programme est un logiciel libre distribue sous licence GNU/GPL.     *
  10  *  Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne.   *
  11 \***************************************************************************/
  12
  13 /**
  14  * Gestion du formulaire d'identification / de connexion à SPIP
  15  *
  16  * @package SPIP\Core\Formulaires
  17  **/
  18
  19 if (!defined('_ECRIRE_INC_VERSION')) {
  20         return;
  21 }
  22
  23 include_spip('base/abstract_sql');
  24
  25 /**
  26  * Teste si une URL est une URL de l'espace privé (administration de SPIP)
  27  * ou de l'espace public
  28  *
  29  * @param string $cible URL
  30  * @return bool
  31  *     true si espace privé, false sinon.
  32  **/
  33 function is_url_prive($cible) {
  34         include_spip('inc/filtres_mini');
  35         $path = parse_url(tester_url_absolue($cible) ? $cible : url_absolue($cible));
  36         $path = (isset($path['path']) ? $path['path'] : '');
  37
  38         return strncmp(substr($path, -strlen(_DIR_RESTREINT_ABS)), _DIR_RESTREINT_ABS, strlen(_DIR_RESTREINT_ABS)) == 0;
  39 }
  40
  41 /**
  42  * Chargement du formulaire de login
  43  *
  44  * Si on est déjà connecté, on redirige directement sur l'URL cible !
  45  *
  46  * @uses auth_informer_login()
  47  * @uses is_url_prive()
  48  * @uses login_auth_http()
  49  *
  50  * @param string $cible
  51  *     URL de destination après identification.
  52  *     Cas spécifique : la valeur `@page_auteur` permet d'être redirigé
  53  *     après connexion sur le squelette public de l'auteur qui se connecte.
  54  * @param string $login
  55  *     Login de la personne à identifier (si connu)
  56  * @param null|bool $prive
  57  *     Identifier pour l'espace privé (true), public (false)
  58  *     ou automatiquement (null) en fonction de la destination de l'URL cible.
  59  * @return array
  60  *     Environnement du formulaire
  61  **/
  62 function formulaires_login_charger_dist($cible = '', $login = '', $prive = null) {
  63         $erreur = _request('var_erreur');
  64
  65         if (!$login) {
  66                 $login = strval(_request('var_login'));
  67         }
  68         // si on est deja identifie
  69         if (!$login and isset($GLOBALS['visiteur_session']['login'])) {
  70                 $login = $GLOBALS['visiteur_session']['login'];
  71         }
  72         // ou si on a un cookie admin
  73         if (!$login) {
  74                 if (isset($_COOKIE['spip_admin'])
  75                         and preg_match(',^@(.*)$,', $_COOKIE['spip_admin'], $regs)
  76                 ) {
  77                         $login = $regs[1];
  78                 }
  79         }
  80
  81         include_spip('inc/auth');
  82         $row = auth_informer_login($login);
  83
  84         // Construire l'environnement du squelette
  85         // Ne pas proposer de "rester connecte quelques jours"
  86         // si la duree de l'alea est inferieure a 12 h (valeur par defaut)
  87
  88         $valeurs = array(
  89                 'var_login' => $login,
  90                 'editable' => !$row,
  91                 'cnx' => isset($row['cnx']) ? $row['cnx'] : '0',
  92                 'auth_http' => login_auth_http(),
  93                 'rester_connecte' => ((_RENOUVELLE_ALEA < 12 * 3600) ? '' : ' '),
  94                 '_logo' => isset($row['logo']) ? $row['logo'] : '',
  95                 '_alea_actuel' => isset($row['alea_actuel']) ? $row['alea_actuel'] : '',
  96                 '_alea_futur' => isset($row['alea_futur']) ? $row['alea_futur'] : '',
  97                 '_pipeline' => 'affiche_formulaire_login', // faire passer le formulaire dans un pipe dedie pour les methodes auth
  98         );
  99
 100         if ($erreur or !isset($GLOBALS['visiteur_session']['id_auteur']) or !$GLOBALS['visiteur_session']['id_auteur']) {
 101                 $valeurs['editable'] = true;
 102         }
 103
 104         if (is_null($prive) ? is_url_prive($cible) : $prive) {
 105                 include_spip('inc/autoriser');
 106                 $loge = autoriser('ecrire');
 107         } else {
 108                 $loge = (isset($GLOBALS['visiteur_session']['auth']) and $GLOBALS['visiteur_session']['auth'] != '');
 109         }
 110
 111         // Si on est connecte, appeler traiter()
 112         // et lancer la redirection si besoin
 113         if (!$valeurs['editable'] and $loge) {
 114                 $traiter = charger_fonction('traiter', 'formulaires/login');
 115                 $res = $traiter($cible, $login, $prive);
 116                 $valeurs = array_merge($valeurs, $res);
 117
 118                 if (isset($res['redirect']) and $res['redirect']) {
 119                         include_spip('inc/headers');
 120                         # preparer un lien pour quand redirige_formulaire ne fonctionne pas
 121                         $m = redirige_formulaire($res['redirect']);
 122                         $valeurs['_deja_loge'] = inserer_attribut(
 123                                 '<a>' . _T('login_par_ici') . "</a>$m",
 124                                 'href',
 125                                 $res['redirect']
 126                         );
 127                 }
 128         }
 129         // en cas d'echec de cookie, inc_auth a renvoye vers le script de
 130         // pose de cookie ; s'il n'est pas la, c'est echec cookie
 131         // s'il est la, c'est probablement un bookmark sur bonjour=oui,
 132         // et pas un echec cookie.
 133         if ($erreur == 'cookie') {
 134                 $valeurs['echec_cookie'] = ' ';
 135         } elseif ($erreur) {
 136                 // une erreur d'un SSO indique dans la redirection vers ici
 137                 // mais il faut se proteger de toute tentative d'injection malveilante
 138                 include_spip('inc/texte');
 139                 $valeurs['message_erreur'] = safehtml($erreur);
 140         }
 141
 142         return $valeurs;
 143 }
 144
 145
 146 /**
 147  * Identification via HTTP (si pas de cookie)
 148  *
 149  * Gére le cas où un utilisateur ne souhaite pas de cookie :
 150  * on propose alors un formulaire pour s'authentifier via http
 151  *
 152  * @return string
 153  *     - Si connection possible en HTTP : URL pour réaliser cette identification,
 154  *     - chaîne vide sinon.
 155  **/
 156 function login_auth_http() {
 157         if (!$GLOBALS['ignore_auth_http']
 158                 and _request('var_erreur') == 'cookie'
 159                 and (!isset($_COOKIE['spip_session']) or $_COOKIE['spip_session'] != 'test_echec_cookie')
 160                 and (($GLOBALS['flag_sapi_name'] and preg_match(',apache,i', @php_sapi_name()))
 161                         or preg_match(',^Apache.* PHP,', $_SERVER['SERVER_SOFTWARE']))
 162                 // Attention dans le cas 'intranet' la proposition de se loger
 163                 // par auth_http peut conduire a l'echec.
 164                 and !(isset($_SERVER['PHP_AUTH_USER']) and isset($_SERVER['PHP_AUTH_PW']))
 165         ) {
 166                 return generer_url_action('cookie', '', false, true);
 167         } else {
 168                 return '';
 169         }
 170 }
 171
 172 /**
 173  * Vérifications du formulaire de login
 174  *
 175  * Connecte la personne si l'identification réussie.
 176  *
 177  * @uses auth_identifier_login()
 178  * @uses auth_loger()
 179  * @uses login_autoriser()
 180  *
 181  * @param string $cible
 182  *     URL de destination après identification.
 183  *     Cas spécifique : la valeur `@page_auteur` permet d'être redirigé
 184  *     après connexion sur le squelette public de l'auteur qui se connecte.
 185  * @param string $login
 186  *     Login de la personne à identifier (si connu)
 187  * @param null|bool $prive
 188  *     Identifier pour l'espace privé (true), public (false)
 189  *     ou automatiquement (null) en fonction de la destination de l'URL cible.
 190  * @return array
 191  *     Erreurs du formulaire
 192  **/
 193 function formulaires_login_verifier_dist($cible = '', $login = '', $prive = null) {
 194
 195         $session_login = _request('var_login');
 196         $session_password = _request('password');
 197         $session_remember = _request('session_remember');
 198
 199         if (!$session_login) {
 200                 # pas de login saisi !
 201                 return array('var_login' => _T('info_obligatoire'));
 202         }
 203
 204         // appeler auth_identifier_login qui va :
 205         // - renvoyer un string si echec (message d'erreur)
 206         // - un array decrivant l'auteur identifie si possible
 207         // - rediriger vers un SSO qui renverra in fine sur action/auth qui finira l'authentification
 208         include_spip('inc/auth');
 209         $auteur = auth_identifier_login($session_login, $session_password);
 210         // on arrive ici si on ne s'est pas identifie avec un SSO
 211         if (!is_array($auteur)) {
 212                 $erreurs = array();
 213                 if (is_string($auteur) and strlen($auteur)) {
 214                         $erreurs['var_login'] = $auteur;
 215                 }
 216                 include_spip('inc/cookie');
 217                 spip_setcookie('spip_admin', '', time() - 3600);
 218                 if (strlen($session_password)) {
 219                         $erreurs['password'] = _T('login_erreur_pass');
 220                 } else {
 221                         // sinon c'est un login en deux passe old style (ou js en panne)
 222                         // pas de message d'erreur
 223                         $erreurs['password'] = ' ';
 224                 }
 225
 226                 return
 227                         $erreurs;
 228         }
 229         // on a ete authentifie, construire la session
 230         // en gerant la duree demandee pour son cookie
 231         if ($session_remember !== null) {
 232                 $auteur['cookie'] = $session_remember;
 233         }
 234         // si la connexion est refusee on renvoi un message erreur de mot de passe
 235         // car en donnant plus de detail on renseignerait un assaillant sur l'existence d'un compte
 236         if (auth_loger($auteur) === false) {
 237                 $erreurs['message_erreur'] = _T('login_erreur_pass');
 238                 return $erreurs;
 239         }
 240
 241         return (is_null($prive) ? is_url_prive($cible) : $prive)
 242                 ? login_autoriser() : array();
 243 }
 244
 245 /**
 246  * Teste l'autorisation d'accéder à l'espace privé une fois une connexion
 247  * réussie, si la cible est une URL privée.
 248  *
 249  * Dans le cas contraire, un message d'erreur est retourné avec un lien
 250  * pour se déconnecter.
 251  *
 252  * @return array
 253  *     - Erreur si un connecté n'a pas le droit d'acceder à l'espace privé
 254  *     - tableau vide sinon.
 255  **/
 256 function login_autoriser() {
 257         include_spip('inc/autoriser');
 258         if (!autoriser('ecrire')) {
 259                 $h = generer_url_action('logout', 'logout=prive&url=' . urlencode(self()));
 260
 261                 return array(
 262                         'message_erreur' => '<h1>'
 263                                 . _T('avis_erreur_visiteur')
 264                                 . '</h1><p>'
 265                                 . _T('texte_erreur_visiteur')
 266                                 . "</p><p class='retour'>[<a href='$h'>"
 267                                 . _T('icone_deconnecter') . '</a>]</p>'
 268                 );
 269         }
 270
 271         return array();
 272 }
 273
 274 /**
 275  * Traitements du formulaire de login
 276  *
 277  * On arrive ici une fois connecté.
 278  * On redirige simplement sur l'URL cible désignée.
 279  *
 280  * @param string $cible
 281  *     URL de destination après identification.
 282  *     Cas spécifique : la valeur `@page_auteur` permet d'être redirigé
 283  *     après connexion sur le squelette public de l'auteur qui se connecte.
 284  * @param string $login
 285  *     Login de la personne à identifier (si connu)
 286  * @param null|bool $prive
 287  *     Identifier pour l'espace privé (true), public (false)
 288  *     ou automatiquement (null) en fonction de la destination de l'URL cible.
 289  * @return array
 290  *     Retours du traitement
 291  **/
 292 function formulaires_login_traiter_dist($cible = '', $login = '', $prive = null) {
 293         $res = array();
 294         // Si on se connecte dans l'espace prive,
 295         // ajouter "bonjour" (repere a peu pres les cookies desactives)
 296         if (is_null($prive) ? is_url_prive($cible) : $prive) {
 297                 $cible = parametre_url($cible, 'bonjour', 'oui', '&');
 298         }
 299         if ($cible == '@page_auteur') {
 300                 $cible = generer_url_entite($GLOBALS['auteur_session']['id_auteur'], 'auteur');
 301         }
 302
 303         if ($cible) {
 304                 $cible = parametre_url($cible, 'var_login', '', '&');
 305
 306                 // transformer la cible absolue en cible relative
 307                 // pour pas echouer quand la meta adresse_site est foireuse
 308                 if (strncmp($cible, $u = url_de_base(), strlen($u)) == 0) {
 309                         $cible = './' . substr($cible, strlen($u));
 310                 } elseif (tester_url_absolue($cible) and !defined('_AUTORISER_LOGIN_ABS_REDIRECT')) {
 311                         // si c'est une url absolue, refuser la redirection
 312                         // sauf si cette securite est levee volontairement par le webmestre
 313                         $cible = '';
 314                 }
 315         }
 316
 317         // Si on est connecte, envoyer vers la destination
 318         if ($cible and ($cible != self('&')) and ($cible != self())) {
 319                 if (!headers_sent() and !isset($_GET['var_mode'])) {
 320                         include_spip('inc/headers');
 321                         $res['redirect'] = $cible;
 322                 } else {
 323                         $res['message_ok'] = inserer_attribut(
 324                                 '<a>' . _T('login_par_ici') . '</a>',
 325                                 'href',
 326                                 $cible
 327                         );
 328                 }
 329         }
 330
 331         return $res;
 332 }