English.
Целое дело, это сделать так, чтобы зопа (плон) понимал, что на сайт лезет авторизованный пользователь, если он авторизовался в апаче. И тут я попал в засаду. Закончу разборки, расскажу.
Это я вчера написал.
Пацан сказал, пацан сделал. Рассказываю.
Засада была в том, что Plone то опознавал пользователя, то нет. В зависимости от раздела сайта. А надо, чтобы после успешного логона в Apache, плон видел, что вот, пользователь имярек тута. На любой странице сайта.
Для понятности, небольшая предыстория. Все знают, что Apache это крутейный веб-сервер. Все знают, что Plone это крутейная CMS построенная на крутейном сервере приложений Zope. Ежу понятно, что хорошо сделать в проекте фронт-энд и бэк-энд. Фрон-энд это будет апач, бэк-енд это будет плон. И все бы хорошо, да надо на сайте сделать раздел, доступный не всем подряд, а только авторизованным пользователям. И вот тут начинаются трудности.
Вернее, трудности начинаются с принятия решения, что авторизацией будет заведовать апач. А это надо для сведения в точку вопросов авторизации. Ведь, признацца, плон не единственный бэк-енд в проекте. Есть и другие подсистемы.
Короче, апач замечательно авторизует пользователей а плон не менее замечательно любого пользователя трактует как анонимуса. Потому как нет стандартного решения передать в плон сведения о пользователе, авторизованном в апаче.
Но есть добрые люди. Они написали инструкцию, как подобную задачу решать в среде виндового домена. Главное в этом рецепте - использование RUF, RemoteUserFolder зопы. Что такое UserFolder, смотрите в доке, а кратко - это обьект зопы определяющий пользователей и группы.
Я сделал по инструкции, но мой конфиг имеет мощное отличие - закрытый раздел - это только один раздел из многих. Другие разделы открыты. А это приводит к тому, что в открытых разделах апач не генерирует среду из которой потом вынимается логин пользователя. А надо. Потому как пользователю непонятно: "вот я залогинился, входя в закрытый раздел, вот его видно. А вот я ушел на другую страницу и доступные мне материалы (ранее закрытые) пропали". Я уж не говорю про бодягу с поиском. Когда то анонимусу через поиск доступны закрытые материалы, то авторизованному хрен чего найдешь в закрытых разделах.
Что делать? Известно что, самому все написать. Ну не все, пару патчей.
Итак, решение моей проблемы состоит из двух частей: кусок конфига апача, в котором в плон передается заголовок HTTP с данными авторизации (копируется из апачевского заголовка); и куска кода для RUF, который дополняет стандартный механизм использования REMOTE_USER самописным механизмом использования нестандартного заголовка, переданного из апача.
После чего остается только в управляторе зопы (ZMI) правильно расставить галочки для вкладки Security нужных папок и страниц плона. Где анонимусам смотреть нельзя, там, без прохождения авторизации в апаче, юзер ничего и не увидит. А пройдя авторизацию (в апаче, да) автоматически получит доступ к этим закрытым материалам.
А поскольку данные авторизации передаются через заголовки HTTP, нет нужды использовать FastCGI (он нужен был в примере для передачи переменных среды процесса). Реврайты и проксирование рулят, что и отмечено в апачевом конфиге. Даже жаль. Тема FastCGI меня всегда интересовала. Ну, значит, не судьба.
Модифицированный RUF, с приложенным примером конфига апача.
Патч к RUF
Кусок конфига апача
Сцылки дня:
2009-09-29
Авторизация в Zope через Apache
Подписаться на:
Комментарии к сообщению (Atom)
Комментариев нет:
Отправить комментарий