杂集一（yii自动登陆过程浅析)

最近有个系统使用yii开发的，里面有不少细节上的调整。

一、yii自动登陆

yii自动生成的骨架中有一个登陆功能，勾选后，系统会保存部分认证信息，以后再登陆是系统会读取这些认证信息，这样就直接跳过了登陆的过程。

我们的系统中保留了这部分功能，但是使用过程中发现有部分信息没有保存，所以登陆成功后会出现很多问题，所以我仔细的看了登陆的流程。

请求login方法后

public function login()
    {
        if($this->_identity===null)
        {
            $this->_identity=new UserIdentity($this->username,$this->password);
            $this->_identity->authenticate();
        }
        if($this->_identity->errorCode===UserIdentity::ERROR_NONE)
        {
            $duration=$this->rememberMe ? 3600*24*30 : 0; // 30 days
            Yii::app()->user->login($this->_identity,$duration);
            return true;
        }
        else
            return false;
    }

系统首先发现还没有创建认证标识 _identity，所以，系统首先会建立UserIdentity的实例化对象，然后调用该对象的authenticate方法。

public function authenticate()
    {
        $username = strtolower($this->username);
        $user = User::model()->find('LOWER(username)=?', array($username));
        if($user === null){
            $this->errorCode = self::ERROR_USERNAME_INVALID;
        }elseif (!$user->validatePassword($this->password)) {
            $this->errorCode = self::ERROR_PASSWORD_INVALID;
        }else{
            $this->_id = $user->id;
            $this->username = $user->username;
            $this->errorCode = self::ERROR_NONE;
        }
        return $this->errorCode;
    }

这个过程其实比较简单易懂，就是拿用户名去数据库检索，然后匹配密码，根据匹配结果返回不同的认证结果。当然这边需要用户名作为唯一认证，如果不是需要拿用户表主键。

$duration=$this->rememberMe ? 3600*24*30 : 0; // 30 days
Yii::app()->user->login($this->_identity,$duration);

认证成功后，系统开始执行实际的登陆过程。Yii::app()->user实例化出一个cwebuser对象，然后调用这个对象中的login方法

public function login($identity,$duration=0)
{
    $id=$identity->getId();
    $states=$identity->getPersistentStates();
    if($this->beforeLogin($id,$states,false))
    {
        $this->changeIdentity($id,$identity->getName(),$states);

        if($duration>0)
        {
            if($this->allowAutoLogin)
                $this->saveToCookie($duration);
            else
                throw new CException(Yii::t('yii','{class}.allowAutoLogin must be set true in order to use cookie-based authentication.',
                    array('{class}'=>get_class($this))));
        }

        $this->afterLogin(false);
    }
    return !$this->getIsGuest();
} 

首先获取当前登陆用户的id标识，然后调用$identity->getPersistentStates()获取认证对象的返回需要持久化的身份状态。调用CWebUser的beforelogin方法

protected function beforeLogin($id,$states,$fromCookie)
{
    return true;
} 

然后将id，用户名和之前获取的持久化认证身份状态一起存入session中

protected function changeIdentity($id,$name,$states)
{
    Yii::app()->getSession()->regenerateID();
    $this->setId($id);
    $this->setName($name);
    $this->loadIdentityStates($states);
} 

这样就实现了登陆的流程。然后上面如果勾选了自动登陆则定义cookie存储的默认时间为30天，发现存储的时间戳不为0时，开始自动登陆流程的操作，当配置文件中同样配置了允许自动登陆时，将认证信息保存到cookie中，否则抛出异常。所以当抛出allowAutoLogin must be set true in order to use cookie-based authentication.这样的异常页面时，需要将配置文件中allowAutoLogin打开。

yii在将认证信息保存到cookie时做了一些操作。

protected function saveToCookie($duration)
{
    $app=Yii::app();
    $cookie=$this->createIdentityCookie($this->getStateKeyPrefix());
    $cookie->expire=time()+$duration;
    $data=array(
        $this->getId(),
        $this->getName(),
        $duration,
        $this->saveIdentityStates(),
    );
    $cookie->value=$app->getSecurityManager()->hashData(serialize($data));
    $app->getRequest()->getCookies()->add($cookie->name,$cookie);
} 

protected function createIdentityCookie($name)
{
    $cookie=new CHttpCookie($name,'');
    if(is_array($this->identityCookie))
    {
        foreach($this->identityCookie as $name=>$value)
            $cookie->$name=$value;
    }
    return $cookie;
} 

利用认证前缀名创建一个cookie，然后获取id，name和持久化认证身份状态信息，经过序列化之后一系列操作流程将这些信息存放到cookie中。

保存cookie的过程。首先实例化一个安全管理器组件，然后挑用这个安全管理器组件的hashData()

public function hashData($data,$key=null)
{
    return $this->computeHMAC($data,$key).$data;
} 

这里调用了computerHAMC（）用来生成HMAC的私钥。如果没有明确指定密钥，那么会生成和使用随机密钥。

protected function computeHMAC($data,$key=null)
{
    if($key===null)
        $key=$this->getValidationKey();

    if(function_exists('hash_hmac'))
        return hash_hmac($this->hashAlgorithm, $data, $key);

    if(!strcasecmp($this->hashAlgorithm,'sha1'))
    {
        $pack='H40';
        $func='sha1';
    }
    else
    {
        $pack='H32';
        $func='md5';
    }
    if($this->strlen($key) > 64)
        $key=pack($pack, $func($key));
    if($this->strlen($key) < 64)
        $key=str_pad($key, 64, chr(0));
    $key=$this->substr($key,0,64);
    return $func((str_repeat(chr(0x5C), 64) ^ $key) . pack($pack, $func((str_repeat(chr(0x36), 64) ^ $key) . $data)));
} 

public function getValidationKey()
{
    if($this->_validationKey!==null)
        return $this->_validationKey;
    else
    {
        if(($key=Yii::app()->getGlobalState(self::STATE_VALIDATION_KEY))!==null)
            $this->setValidationKey($key);
        else
        {
            $key=$this->generateRandomKey();
            $this->setValidationKey($key);
            Yii::app()->setGlobalState(self::STATE_VALIDATION_KEY,$key);
        }
        return $this->_validationKey;
    }
}

 CApplication->getGlobalState()这边再往下越来越深，基本超越我目前的接受范围，就不深入挖掘了。不过$this->detachEventHandler('onEndRequest',array($this,'saveGlobalState'));这句话让我有了不小的感触，但是还不能那么准确的说出这是什么样的感觉。这感觉就好像是我编程过程中一直缺失的部分。这段我感觉就是生成一个全局范围的状态数组。至于数组的内容就是从持久存储加载状态数据。如果没有获取到则建立一个空的全局状态数组。

public function getGlobalState($key,$defaultValue=null)
{
    if($this->_globalState===null)
        $this->loadGlobalState();
    if(isset($this->_globalState[$key]))
        return $this->_globalState[$key];
    else
        return $defaultValue;
} 

 如果上面返回持久化存储状态信息失败为空，就随机生成一个新的key

protected function generateRandomKey()
{
    return sprintf('%08x%08x%08x%08x',mt_rand(),mt_rand(),mt_rand(),mt_rand());
} 

再将这个生成的key存储到持久化存储信息中。key生成后需要将key写入认证key中

public function setValidationKey($value)
{
    if(!empty($value))
        $this->_validationKey=$value;
    else
        throw new CException(Yii::t('yii','CSecurityManager.validationKey cannot be empty.'));
} 

key生成后，如果系统存在hash_hmac方法，就调用hash_hmac生成一个hash值。如果系统不支持hash_hmac函数，则判断当前使用的加密方式，分别为sha1和md5，然后根据不同情况对key进行处理，最终得到一个64位的串。然后再得到加密串。（其实我已经混乱了。。。）然后将这个加密串写入cookie就可以了。（本来我还觉得能拿到加密串反向或许可以推出密码，现在看来是不可逆并且逆向过程也会死人-_-）

完成存储cookie过程后，页面接下来跳转到来源页。登陆过程至此完成。

 退出过程相较前面的登陆，工作就少得多了。毕竟摧毁起来比建立要方便的多。

public function logout($destroySession=true)
{
    if($this->beforeLogout())
    {
        if($this->allowAutoLogin)
        {
            Yii::app()->getRequest()->getCookies()->remove($this->getStateKeyPrefix());
            if($this->identityCookie!==null)
            {
                $cookie=$this->createIdentityCookie($this->getStateKeyPrefix());
                $cookie->value=null;
                $cookie->expire=0;
                Yii::app()->getRequest()->getCookies()->add($cookie->name,$cookie);
            }
        }
        if($destroySession)
            Yii::app()->getSession()->destroy();
        else
            $this->clearStates();
        $this->afterLogout();
    }
} 

就是删除相关cookie和session，为防止cookie清除的不干净，还顺带重定义认证cookie的内容，存空，置为会话cookie即可。所以，如果执行了登出操作，下一次就不会自动登陆，所以，这边假设是直接关闭浏览器的。如果没有设置自动登陆，session被清除，也算登出了。

自动登陆，但CWebUser实例化后会调用init()

public function init()
{
    parent::init();
    Yii::app()->getSession()->open();
    if($this->getIsGuest() && $this->allowAutoLogin)
        $this->restoreFromCookie();
    else if($this->autoRenewCookie && $this->allowAutoLogin)
        $this->renewCookie();
    if($this->autoUpdateFlash)
        $this->updateFlash();

    $this->updateAuthStatus();
} 

如果还没有登陆且开启了自动登录则执行restoreFromCookie()即从cookie获取登陆信息。如果不是来宾帐号且开启了自动登陆并允许更新cookie则更新cookie，我对前面解析的机制还不理解，不过通过一些调试手段知道执行了第一个if的内容

protected function restoreFromCookie()
{
    $app=Yii::app();
    $request=$app->getRequest();
    $cookie=$request->getCookies()->itemAt($this->getStateKeyPrefix());
    if($cookie && !empty($cookie->value) && ($data=$app->getSecurityManager()->validateData($cookie->value))!==false)
    {
        $data=@unserialize($data);
        if(is_array($data) && isset($data[0],$data[1],$data[2],$data[3]))
        {
            list($id,$name,$duration,$states)=$data;
            if($this->beforeLogin($id,$states,true))
            {
                $this->changeIdentity($id,$name,$states);
                if($this->autoRenewCookie)
                {
                    $cookie->expire=time()+$duration;
                    $request->getCookies()->add($cookie->name,$cookie);
                }
                $this->afterLogin(true);
            }
        }
    }
}

这个操作就是获取cookie值，然后放进安全管理组件中进行判断是否被篡改

public function validateData($data,$key=null)
{
    $len=$this->strlen($this->computeHMAC('test'));
    if($this->strlen($data)>=$len)
    {
        $hmac=$this->substr($data,0,$len);
        $data2=$this->substr($data,$len,$this->strlen($data));
        return $hmac===$this->computeHMAC($data2,$key)?$data2:false;
    }
    else
        return false;
} 

这个过程我已经无力理解了，跳过。。。。

cookie验证通过后，将cookie中数据反序列化并放入session中，登陆完成。

分析完上面的内容，我发现，牛逼就是牛逼。。。。

由于我们的代码缺少存储持续化存储的身份状态，所以反序列化后很多字段没有值，还是需要从数据库中再拉取一便，但是系统认为主要的认证信息齐全了，不需要再查询数据库了，所以就会产生一些bug。可以考虑登陆的时候调用setPersistentStates()来存储需要用到的认证信息，但是目前也不知道那些信息需要存储，每次都要添加其实并不方便，也可以登陆完成后再执行一遍查询操作，更新user信息。这样效率上有影响。所以我们最终决定改变现有流程，选择自动登陆后（名称改为记住密码）将用户名密码加密后存储到cookie中，打开登陆页面后解密后放进用户名密码栏，省去输入用户名密码的时间，实际上不会自动登陆。

$duration = 0;
if($this->rememberMe){
　　setcookie('username', $this->username, time() + 60*60*24*7 );
　　setcookie('password', $this->password, time() + 60*60*24*7 );
}

加密的过程处于对客户方的尊重，代码就不展示了。就是将系统的cookie有效期置位0，即设为会话即可。

if(isset($_COOKIE['username'])){　　
　　$username = $_COOKIE['ofly_username'];
　　$model->username = $username;
}

登陆时解密逆向一下，这样就可以记录用户名，密码了。