Intégration d'openID à mon site phpboost

Créations de Modules

horn Membre non connecté

Equipe Historique Modérateur

Le 29/09/2010 à 19h06

#93715

En fait, c'est beaucoup plus compliqué que ça.

Tiré de Wikipedia :

Le mode de fonctionnement d'OpenID est le suivant :

* L’utilisateur x désire, par exemple, accéder au service PHPBoost qui requiert que l’utilisateur soit authentifié.

* L’utilisateur entre son identifiant : x.sub.domain.com.

* Le fournisseur de service (PHPBoost dans notre cas) contacte le fournisseur d'identité et ils créent ensemble un secret partagé.

* L’utilisateur est redirigé vers le site du fournisseur d'identité et entre son mot de passe pour s’authentifier.

* L’utilisateur est alors averti que PHPBoost souhaite avoir accès à certains attributs de son profil OpenID (par exemple, son nom, prénom, et son adresse de courriel), et accepte ou non cette demande.

* L’utilisateur est redirigé vers PHPBoost avec une preuve cryptographique de son identité (créée grâce au secret partagé préalablement établi) fournie par le fournisseur d'identité et est authentifié.

Tant que la session de l’utilisateur est active, il pourra être reconnu automatiquement sur les autres sites utilisant OpenID grâce au mécanisme de l’authentification unique.

Ce qui veut dire que Côté PHPBoost, il faut :

Un formulaire d'authentification séparé pour OpenId
Ce formulaire contacte l'identity provider OpenID de l'utilisateur et échange avec lui une clé de cryptage (Peut-être des clés publiques pour faire du RSA, je ne sais pas)
Ensuite, le formulaire redirige l'utilisateur vers son identity provider OpenID
Celui vérifie que l'authentification de l'utilisateur en lui demandant son mot de passe et retourne à PHPBoost une réponse signée, il faudra donc la vérifier pour s'assurer que l'utilisateur est authentifié.
Une fois que l'utilisateur est authentifier, il faut mettre à jour son profil utilisateur PHPBoost. Dans le cas ou le membre n'existe pas, il faut donc le créer en précisant que c'est un compte OpenID et que par conséquent aucun mot de passe n'est stocké côté PHPBoost.
Après ça le comportement est le même que pour les autres membres.

Comme actuellement le système de session de PHPBoost n'est pas très bien fait, il contient aussi le code permettant d'authentifier un membre, il va falloir le modifier en profondeur, ce qui est extrêmement risqué.

Donc à moins que tu ne comprennes tout ce que fait la classe Session, je te conseille de ne pas te lancer dedans, cette classe est vraiment trop mal faîte pour que tu puisses arriver en un temps raisonnable à quelque chose qui fonctionne et qui n'introduise pas de faille de sécurité.

Cependant, si tu as quand même le courage (ou la pression de tes utilisateurs) pour t'y lancer dedans, tu pourras poser toutes les questions que tu veux, on essaiera d'y répondre pour que tu puisses continuer.

Voilà, désolé si je t'ai peut-être un peu découragé, mais l'authentification est vraiment quelque chose de très compliqué, surtout avec des systèmes tiers comme OpenID.

Soyez polis, pas de langage SMS et soignez votre orthographe, merci.