搞PHP开发时，经常碰到一个401 Unauthorized错误，那意思就是你没权限访问这个东西。这可能是你没给够账号密码，或者给了但是不正确，或者账号根本就没权利看这个。所以，为了保证网站安全，PHP有几种方法来验证你是不是真的有权限，比如基础验证（HTTP认证）、令牌验证（类似JWT/OAuth）和会员验证（即使你退出账户，也能保存信息到你再次登录）。下面咱们就来聊聊这些验证方式以及如何处理401 Unauthorized错误。
401 Unauthorized错误原因分析
在用PHP编程的时候，如果接到了401 Unauthorized这个错误，基本上就是客户端没给够或者给了错的认证信息，让服务器鉴定不了谁是谁。结果就是服务器直接拒绝访问，还给你个401警告。常见的原因有这些：
没给凭证:就是说你没带证件啊,连个用户名密码都不告诉我你想我怎么帮你呢?
没戏啦：你输错了用户名或者密码，所以提供的身份验证过不了关。
不给进啊：就算你提供的验证信息没错，客户端还是没资格进那个资源。
咱们得明白为啥会出现401 Unauthorized这个错误，对？这对程序猿来说可太关键了。咱们只有把问题找出来，找到权限管控这块儿出啥问题了，才好下手去处理！
PHP有好几种方法保护你的网站安全和信息隐私！主要就是通过这几个方式来管理用户的权限和访问限制啦：
1.基本授权（HTTP身份验证）
基本授权就是一种常见的登录验证方法，在我们平时上网的时候经常能用到。比如你想看某个有版权保护的内容，但是没账号的话就进不去，这时候服务器就会给你个401提示，告诉你要输入用户名和密码才能进去。然后，你把你的用户名和密码打包好发过去，服务器那边接收到后，再解开看看你是不是本人。确认之后，才会让你顺利进入那个页面。
2.令牌授权（JWT/OAuth）
令牌认证就是给用户发个通行证，通过它来确认你是谁以及有哪些权利。JWT（JSON Web Token）是一个官方认可的标准，能把信息安全地传到各个地方，而且还是以0ecd11c1d7a287401d148a23bbd7a2f8格式打包！再来说说OAuth，这个玩意儿就是为了让第三方程序帮我们和HTTP服务交流用的。把这两个技术搞到一块儿，就能实现既安全又灵活的身份认证和权限管理。
3.会话（存储受身份验证用户信息）
会话就是把你在服务器那边的登陆认证信息记录下来，方便你下次再用。比如说，你在用PHP编程时就可以利用这个”Session”功能来处理这些会话数据。当你成功登录之后，服务器就会给你分配一个独一无二的Session ID，然后把它放在一个叫做Cookie的东西里传回你的浏览器。之后每次你请求网页，不管是什么时候，只要带上这个Session ID，服务器就能知道是你在访问了，并且还能保持你的登录状态！
实战案例：基本授权保护资源
咱们要给一个叫“秘密.php”的文件上个锁，只能让那些有身份验证过的用户进来瞧瞧。下面教你咋弄：
1.在secret.php文件顶部添加以下代码：
php
如果 PHP_AUTH_USER 和 PHP_AUTH_PW 都没设置或者用户名密码不对，我们就得采取行动了。
"请输入用户名密码，访问受限区域。”
返回了个 HTTP/1.0 401 未授权的回应。
echo 'Access Denied';
exit;
<?php
if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW'])) {
// 拒绝访问并显示错误消息
header('HTTP/1.1 401 Unauthorized');
exit;
}
// 验证凭据
if ($_SERVER['PHP_AUTH_USER'] != 'username' || $_SERVER['PHP_AUTH_PW'] != 'password') {
// 验证失败
header('HTTP/1.1 401 Unauthorized');
exit;
}
// 允许访问
// ...
}
?>
当你点开secret.php这个网页的时候，它会蹦出来一个要你输用户名和密码的简单认证窗口！
只要输对账号密码，服务器就会检查你的权益，让你打开秘密.php。
从上面的例子可以看出，用基本授权来保护PHP应用中的资源非常快和容易，而且能有效防止没经过允许的查看。
看来我们已经搞定了对PHP 401 Unauthorized以及与之相关的授权机制的深度解析！记住，在平时的编码过程中巧妙地运用这些方法，能让你的系统安全指数和数据防护能力大大提升！
原文链接：https://www.icz.com/technicalinformation/web/2024/04/15384.html，转载请注明出处~~~ 
评论0