PHP：验证本地unix用户（无需直接访问/etc/shadow）

Question

给定用户名和密码，我需要检查本地系统上是否存在具有所述用户名和密码的用户。

我知道 posix_getpwnam 并使用 PAM 包，但这两种方法都要求 PHP 脚本能够访问 /etc/shadow 。我不想弄乱系统文件或守护程序用户的权限。

我想这可以通过扰乱标准系统命令（例如 sudo ）或编写我自己的小型 setuid C 程序来完成。我还可以尝试使用所述用户名/密码通过 FTP 或 SSH 连接到本地主机来验证它。有没有更简单的方法？

Answer 1

如果您想要更本地化的方式，您可以自己推出。我会看看
更多关于PAM：pam_authenticate。

我的意思是，您应该能够创建一个使用 PAM 进行身份验证但不需要 root 的应用程序，例如 sudo。

但是，如果您想要一个更简单的解决方案，您可以调用：

Source login.sh

#!/bin/bash
su $1 < `echo $2` #Need echo for the newline

在 PHP 代码中作为 login.sh 的 exec 语句，第一个参数是用户名和第二个是密码。

Answer 2

1. 我相信 ftp/ssh 是一种巧妙的方法，假设系统始终运行它们。

2. 出于权限考虑，另一种可能性是编写一些脚本，从 /etc/shadow 中提取这些用户，并将该脚本作为 cron 作业运行以定期更新它。该脚本创建一个仅具有特定于运行您的网络的用户（apache 等）的权限的文件，并且可以检查该文件，甚至可以检查 mysql 的条目（如果您真的想疯狂的话）。

第一个简单易行，第二个则需要更多工作。我想到的另一种方法是通过 php 执行系统命令，例如 useradd $user 并检查返回。但这需要 sudo。

Answer 3

我还可以尝试使用所述用户名/密码通过 FTP 或 SSH 连接到本地主机来验证它。

这就是我最终所做的（使用 PHP ssh2 扩展）。本地命令也可以在用户的​​凭据下通过同一连接运行。

Answer 4

如果您的脚本可以运行 su （切换用户）命令，则无需通过网络连接，但如果用户没有密码，此方法是危险的，因为这样会作为命令执行的密码。我之前使用它检查 /etc/group 文件，该文件检查用户的登录是否在所需的组中。

function unix_auth_local_user($username, $password)
{
    $ok = false;
    $username = escapeshellarg($username);
    $pipes_spec = [
        ["pipe", "r"],
        ['file', '/dev/null', 'a'],
        ['file', '/dev/null', 'a']
    ];
    $command = escapeshellarg("exit;");
    $process = proc_open('su '.$username.' -c '.$command, $pipes_spec, $pipes);
    if (is_resource($process)) {
        fwrite($pipes[0], $password);
        fclose($pipes[0]);
        $status = proc_close($process);
        $ok = $status === 0;
    }
    return $ok;
}

另外，请记住，这可能会触发用户的登录脚本和注销后脚本（但 ssh 登录也是如此）。