Apache mod-auth-mysql与phpass加密密码(Wordpress)

Question

我需要有密码保护在一些网页以外的主要Wordpress网站。用户更喜欢使用他们在Wordpress中已经拥有的用户名和密码。

显而易见的解决方案似乎是使用Apace模块进行基于Mysql的身份验证:mysql。

然而，这似乎是不可能的，因为Wordpress使用Phpass密码加密，mod-auth-mysql不支持这种加密。

• http://modauthmysql.sourceforge.net/CONFIGURE
• http://www.openwall.com/phpass/
• https://wordpress.stackexchange.com/questions/32004/how-to-validate-wordpress-generated-password-in-db-using-php

有什么办法可以绕过这个限制吗？

Answer 1

您可以使用修补版本的mod-auth-mysql来接受Phpass加密密码。我将包括关于如何在ubuntu和debian中这样做的说明。

原始修补程序文件在这里可用。

在Ubuntu/Debian中修补Mod mysql以支持Phpass

这些指令已经在Ubuntu10.4、12.04和14.04.5中进行了测试，但是应该可以在其他基于Debian的平台上工作，并且只需很少的更改。

创建一个用于构建修补程序.deb包的工作目录

mkdir mod-auth-mysql-phpass
cd mod-auth-mysql-phpass

获取构建包和包源所需的依赖项。

sudo apt-get build-dep mod-auth-mysql fakeroot
apt-get source mod-auth-mysql

转到新创建的源文件夹。

cd mod-auth-mysql-4.3.9

使用Debian工具创建正确的debian格式化修补程序(.dpatch)。首先检查当前修补程序列表。

cat debian/patches/00list

最后一个官方补丁将在名单的末尾。使用最后一个补丁的名称作为下面d修补程序-编辑-修补程序命令的最后一个参数。还为新的phpass修补程序的名称选择一个更大的数字。在我的例子中，列表中的最后一个补丁是017-doc_persistent_conc.d修补程序，而phpass补丁的名称是018-phpass。

dpatch-edit-patch patch 018-phpass 017-doc_persistent_conn.dpatch

D修补程序-编辑-补丁将在一个特殊文件夹中启动一个新的shell，该文件夹将用于构建定制的debian格式化修补程序。

下载原始修补程序

wget https://pelam.fi/published_sources/mod-auth-mysql-phpass/patch.diff

应用原始修补程序并删除它。

patch < patch.diff
rm patch.diff

告诉d修补程序-编辑补丁程序，我们的自定义补丁可以生成。

exit

不知道你的新Debian格式的补丁。如果您关心安全性，还应该检查这个非官方修补程序所做的更改:)

cat debian/patches/018-phpass.dpatch 

将新修补程序添加到构建.deb包时要应用的修补程序列表中。

echo 018-phpass.dpatch >> debian/patches/00list 

构建修补程序包

dpkg-buildpackage -b -uc

现在，您可以安装自定义构建的.deb包(构建的包名称可能因系统而异)。

sudo dpkg --install ../libapache2-mod-auth-mysql_4.3.9-13.1ubuntu3_amd64.deb

将Mod-auth-mysql配置为使用Phpass对Wordpress进行身份验证。

启用mod-auth-mysql：

sudo a2enmod auth_mysql

重新启动apache以使新模块生效：

sudo service apache2 restart

文档(现在包括Phpass)可以用例如查看。减少命令

zless /usr/share/doc/libapache2-mod-auth-mysql/DIRECTIVES.gz

下面是一个示例.htaccess文件，它只允许Wordpress管理员访问：

AuthType Basic
AuthName "Give Wordpress Administrator username and password"

Auth_MySQL_User YOUR_MYSQL_USER_HERE
Auth_MySQL_Password YOUR_MYSQL_PASSWORD_HERE
Auth_MySQL_Host YOUR_MYSQL_SERVER_HERE

AuthBasicAuthoritative Off
# I don't know a better way to disable the default password file authentication
AuthUserFile /dev/null
Auth_MySQL on
Auth_MySQL_DB YOUR_WORDPRESS_MYSQL_SCHEMA_NAME_HERE
Auth_MySQL_Password_Table wp_users
Auth_MySQL_Username_Field wp_users.user_login
Auth_MySQL_Password_Field wp_users.user_pass
Auth_MySQL_Encryption_Types PHPass PHP_MD5

Auth_MySQL_Group_Table "wp_users, wp_usermeta"
Auth_MySQL_Group_Clause "AND wp_users.ID = wp_usermeta.user_id AND wp_usermeta.meta_key='wp-capabilities' and m.meta_value like '%s:13:\"administrator\"%'"
Auth_MySQL_Persistent On
Auth_MySQL_Authoritative Off
Auth_MySQL_CharacterSet utf8

Require valid-user
Order allow,deny
Allow from all