在authenticate_or_request_with_http_digest中获取密码

Question

我有一个连接到 iPhone 应用程序的应用程序，该应用程序又通过 http_digest 对其用户进行身份验证。

我正在使用 authlogic，在我的架构中，网站的用户是“用户”，手机应用程序的用户是“人”。所以，我有 user_sessions 和 people_sessions。为了处理 http_digest 身份验证，我使用像这样的authenticate_or_request_with_http_digest方法：

def digest_authenticate_person
  authenticate_or_request_with_http_digest do |email, password|
    #ldb is just a logging method i have
    ldb "email = #{email.inspect}, password = #{password.inspect}"
    person = Person.find_by_email(email)
    if person
      ldb "Authentication successful: Got person with id #{person.id}"
      @current_person_session = PersonSession.create(person)        
    else
      ldb "Authentication failed"
      @current_person_session = nil
    end
    return @current_person_session
  end
end

我可以在日志中看到密码为零：只有电子邮件传递到authenticate_or_request_with_http_digest块的内部。

我用这样的curl调用来测试这个：

curl --digest --user [email protected]:apass "http://localhost:3000/reports.xml"

我希望“[email protected]< /a>" 和 "apass" 传递到内部块。一旦我有了密码，我就可以以正常方式使用电子邮件和密码的组合来查找（或不查找）用户。有谁知道我如何才能访问密码？

感谢任何建议 - 最大

编辑 - 在进一步谷歌搜索时，我认为我使用了错误的方法：我应该只返回密码或加密密码。但是我如何将其与作为 http_digest 用户名一部分传递的密码进行比较？

Answer 1

找到答案：我对authenticate_or_request_with_http_digest的工作原理有一个根本性的误解：阅读文档（在gem的源代码中）后，我意识到这个方法的目的不是进行身份验证，它的目的是向浏览器提供“email:realm:password”字符串，让浏览器对其进行加密，并根据其自己计算（或缓存）的版本检查结果。

我的设置方法如下：

def current_person
  if @current_person
    @current_person
  else
    load_current_person
  end
end 

#use in before_filter for methods that require an authenticated person (mobile app user)
def require_person
  unless current_person
    redirect_to root_path
  end   
end

def load_current_person
  #check user agent to see if we're getting the request from the mobile app
  if request.env['HTTP_USER_AGENT'] =~ /MobileAppName/
    result = digest_authenticate_person
    if result == 401
      return 401
    elsif result == true
      #make authlogic session for person
      @current_person_session = PersonSession.new(@person_from_digest_auth)
      @current_person = @person_from_digest_auth
    end
  end
end  

#this method returns either true or 401
def digest_authenticate_person
  authenticate_or_request_with_http_digest(Person::DIGEST_REALM) do |email|
    person = Person.find_by_email(email)
    @result = nil
    if person
      #need to send back ha1_password for digest_auth, but also hang on to the person in case we *do* auth them successfully
      @person_from_digest_auth = person
      @result = person.ha1_password  
    else
      @person_from_digest_auth = nil
      @result = false
    end
    @result
  end
end