phpBB.de

Hallo,

Auf meiner Webseite habe ich mehrere Dinge, u.a. ein phpbb welches ich am liebsten alles SSO mäßig authentifizieren möchte.
Für diesen Zweck habe ich mir etwas genauer die authentication Methode "apache" im Zusammenhang mit AuthMemCookie (-> https://zenprojects.github.io/Apache-Au ... ie-Module/) angeschaut welches in der Verbindung im Prinzip das ist was ich suche. Also quasi ein Login in einen internen Bereich in dem ich dann bei allen tools automatisch mit eingeloggt bin.

Bei der Apache authentication habe ich jedoch festgestellt, dass in der Environment nicht nur die "remote_user" Variable gesetzt sein muss, sondern leider auch die password Variable, welche ich zwar mit AuthMemCookie setzen kann, dies aber nicht möchte, da in dem Fall das Passwort im Klartext im memcache steht.

So wie ich im phpbb code sehe wird das Passwort an sich nicht weiter überprüft sondern nur beim anlegen eines neuen Users mit in die Datenbank vom phpbb übernommen. Da ich am phpbb code nur ungern basteln möchte stellt sich mir nun die Frage ob irgendwelche Gründe dagegen sprechen ein random String als Passwort in die Environment mit zu geben, der dann auch bei jedem Login zwangsweise anders ist.

Ich wäre über eure Meinung dankbar.
Grüße
Manuel

Solange die Authentifizierung komplett über Apache abgewickelt wird und das Passwort nicht geprüft wird (ich habe mir das Modul jetzt nicht im Detail angesehen) spricht da in meinen Augen nichts gegen. Ich könnte mir höchstens vorstellen, dass der Admin-Login hinterher nicht mehr geht. Das Passwort über das Forum zu ändern dürfte eh nicht mehr gehen.

Und natürlich: Falls du jemals zurückwechselst wird bei niemandem der Login funktionieren und alle müssen sich neue Passwörter zuschicken lassen. Das dürfte aber wohl eher kein Problem sein.