Apache2，Kerberos，SSI：如何在其他用户下登录

Question

我有由REMOTE_USER标头授权的网络应用。 如果Apache2的+ mod_auth_kerb所被一些ActiveDirectory的用户名设置REMOTE_USER，我的web应用程序知道有这样的用户名是用户登录时，我有（单点登录SSI ）和它的作品完美，但我该怎么办时，我想登录为另一用户？ 如何强制kerberos重新登录（例如，通过基本身份验证）？

如果mod_auth_kerb无法实现，但是其他Apache（或Nginx）mod可以实现，那完全可以！

PS顺便说一句，在授权过程中依靠REMOTE_USER HTTP标头是否安全？

Answer 1

如果通过浏览器类型的基本身份验证对用户进行身份验证，则无法注销用户。

尝试使用Stanford WebAuth 。 这样，您就可以显示浏览器内的登录页面，并且仍然使用用户的Kerberos凭据（您可以选择使用SPNEGO进行无密码登录）。 它还提供了全面的登出功能-用户的浏览器不会停止通过Kerberos身份验证，但是会停止以WebAuth身份登录。

依靠REMOTE_USER 服务器变量是安全的。 它不是HTTP头-在PHP中，它将是$_SERVER['REMOTE_USER'] ，而不是$_REQUEST['REMOTE_USER'] 。 它由服务器端代码设置。