Apache Auth Cookie Fu を使ってみた

ちょっと興味があったので、触ってみた。

Apache Auth Cookie Fu module

用意した環境

• CentOS 4 (Kernel 2.6.9-42.0.10)
• Apache 2.2.4

書いたコード

httpd-cookiefu.conf

<Directory /htdocs/cookie/apple>
  AuthCookieEnable        on
# AuthCookieDenyAction    redirect
# AuthCookieRedirectURL   http://www.apple.com/
# AuthCookieCheckIP       no
  AuthCookieCheckExpire   yes
# AuthCookieCookieName    ACF
# AuthCookieCookieSalt    "!Open Sesame!"
</Directory>

index.html

<h2>No Cookie</h2>
<div id="nocookie">
  <iframe src="faces/text.html?" width="700" height="200" style="border:1px solid #999"></iframe>
</div>
<h2>Cookie</h2>
<div id="nocookie">
  <iframe src="apple/text.html?" width="700" height="200" style="border:1px solid #999"></iframe>
</div>

faces/text.html は人の顔がいっぱい並んだページで、顔写真はすべて faces ディレクトリ以下に並んでいます。apple も同様。

hash_hmac.php

$expire   = time() + (3600 * 24) ;
$remoteip = $_SERVER["REMOTE_ADDR"];
$key      = '!Open Sesame!';
$message  = "$expire,$remoteip";
$hmac     = hash_hmac('sha1', $message, $key);
trigger_error("$expire, $remoteip, $key, $message, $hmac", E_USER_NOTICE);

$name     = 'ACF';
setcookie ( $name, $hmac, $expire, '/');

想定されるユーザシナリオは…

• index.html にアクセス → 顔は見られる。リンゴは forbidden
• hash_hmac.php にアクセス → クッキーを焼く
• index.html にアクセス → 顔は見られる。リンゴも見られる。

なのですが、今のところ何度やってもリンゴが見られません…

cookie を焼く PHP のコードは会ってると思います。試しに以下のようなコードを書きました。

hmac_test.php

$expire   = 1178442572;
$remoteip = '192.168.1.9';
$key      = '!Open Sesame!';
$message  = "$expire,$remoteip";
$hmac     = hash_hmac('sha1', $message, $key);
trigger_error("$expire, $remoteip, $key, $message, $hmac", E_USER_NOTICE);

この出力は Apache Auth Cookie Fu module のページにあるように 5719b9e205cc63d896184c79ced2dd35a3702c18 となっています。

というわけで、apache 側、というか cookie の handling に問題があるのだと思うのだけど…

確認している問題

• アクセス制限のあるページをクッキーなしに見ようとすると、Apache が Segment Fault で落ちる。→一度クッキーを焼くと、Forbidden になる。
• アクセス制限があっても、Options Indexes があると、ファイルの一覧が見られる。

もうちょっと調べてみます。