लॉगिन के माध्यम से phpBB 3.0.X मंचों पर प्राधिकरण समस्या का समाधान

दोस्तों, हाल ही में सामाजिक नेटवर्क के माध्यम से मंच पर प्राधिकरण स्थापित करना आवश्यक था। सभी प्लगइन्स जो आवश्यकताओं के अनुसार पाए गए थे, केवल लॉगिन प्लगइन उपयुक्त था। जो नहीं जानते उनके लिए:

Loginza एक प्रमाणीकरण प्रणाली है जो लोकप्रिय WEB सेवाओं तक एकीकृत पहुंच प्रदान करती है। अपने लॉगिन खाते का उपयोग करके, आप बड़ी संख्या में ब्लॉग साइटों और फ़ोरम पर जा सकेंगे जो OpenID और Loginza विजेट का समर्थन करते हैं, जिसका अर्थ है कि आपको प्रत्येक संसाधन पर एक ही प्रकार के साथ पंजीकरण करने की आवश्यकता नहीं है और प्रत्येक साइट पर संपर्क और अन्य प्रोफ़ाइल जानकारी की प्रासंगिकता पर नज़र रखें।

उसके बारे में थोड़ा पढ़ने के बाद, मैं बहुत खुश था - मुझे क्या चाहिए। स्‍थानीय मशीन पर स्‍थापना लगभग 1 क्लिक में हो गई, सब कुछ एकदम सही हो गया। लेकिन वास्तव में काम करने वाले सर्वर पर स्थानांतरित करने के बाद, किसी कारण से प्राधिकरण और पंजीकरण ने उड़ान भरी। जब मैंने सिस्टम में लॉग इन करने की कोशिश की, तो फ़ोरम ने कहा कि उपयोगकर्ता की पहचान की गई थी, लेकिन अगली बार जब मैंने फ़ोरम पर स्विच किया, तो प्राधिकरण भाग गया। दो घंटे बैठने और कोड में रमने के बाद, मैंने समस्या का कारण पाया।

वैसे, मैं तुरंत ध्यान देना चाहता हूं कि इस समाधान का थोड़ा सुरक्षा प्रभाव है, क्योंकि इसने टोकन सत्यापन मोड को निष्क्रिय कर दिया है। सामान्य तौर पर, मैं अपने सिद्धांतों का वर्णन नहीं करूंगा कि मुझे यह कैसे मिला, मैं तुरंत एपीआई पर ध्यान आकर्षित करूंगा। हम इस बिंदु (Loginza.API के माध्यम से टोकन कुंजी की जाँच) में रुचि रखते हैं।

यह कहता है कि सफल प्राधिकरण की पुष्टि करने के लिए, आपको URL के लिए एक अनुरोध करना होगा:
loginza.ru/api/authinfo?token=[TOKEN_KEY_VALUE]&id=[WIDGET_ID]&sig=[API_SIGNATURE]
जहां, [TOKEN_KEY_VALUE] - टोकन का चेक किया गया मान;
[WIDGET_ID] - विजेट आईडी;
[API_SIGNATURE] - एपीआई के अनुरोध पर हस्ताक्षर। यह टोकन मान और विजेट की गुप्त कुंजी को जोड़ने से MD5 के रूप में गणना की जाती है। उदाहरण: md5 (टोकन + स्के)।

सामान्य तौर पर, इस पते को जनरेट किया जाता है, जिसमें \ loginza \ libs \ LoginzaAPI.class.php क्लास शामिल है:

$url = str_replace('%method%', $method, self::API_URL).'?'.http_build_query($params);

कई प्रयोगों के परिणामस्वरूप, यह पता चला कि यह पता गलत तरीके से बनाया गया है। [WIDGET_ID] और [API_SIGNATURE] मापदंडों को इसमें नहीं जोड़ा गया है। यद्यपि इन मापदंडों को मैन्युअल रूप से जोड़ते समय भी, कुछ भी नहीं हुआ - लॉगिन ने उत्तर दिया कि सिग गलत था। सुरक्षा की उपेक्षा करने का निर्णय लिया गया।

तो, यदि Loginza के माध्यम से मंच पर प्राधिकरण आपके लिए काम नहीं करता है, तो निम्न कार्य करें:

1) अपने विजेट की प्रोफाइल सेटिंग्स में (आपने इसे बनाया, साइट के अधिकारों की पुष्टि की;) साइट सेटिंग्स में, "सुरक्षित टोकन सत्यापन मोड" चेकबॉक्स को अनचेक करें।

2) फ़ाइल \ में \ loginza \ libs \ LoginzaAPI.class.php, लाइन 38 शामिल है। लाइन को बदलें:
return $this->apiRequert('authinfo', array('token' => $token));
पर
return $this->apiRequert('authinfo', $token);

3) उसी फ़ाइल की 113 लाइन को बदलें
$url = str_replace('%method%', $method, self::API_URL).'?'.http_build_query($params);
पर
$url .= 'http://loginza.ru/api/authinfo?token='.$params;

समस्या हल हो गई है! :)