0

Decidi eliminar una publicacion anterior y reformular mi pregunta.

Actualmente tengo un sistema de reportes,el cual esta corriendo en Xammp dentro de una red local (empresa). Esta aplicacion esta desarrollada en php y utiliza el tipico sistema de login usuario - contraseña.

El asuntro ahora es que me solicitaron eliminar ese login y que los usuarios dentro de la red local puedan ingresar directamente al sistema con su usuario de windows (sin pedir contraseña), esto obteniendo el usuario de windows que se conecta y validando que exista en una base de datos de usuario.

Buscando en internet, he encontrado publicaciones en el cual se usa mod_authnz_sspi. Proble usarlo y configurarlo en apache, con este tutorial de stackoverflow, pero pide contraseña para ingresar igualmente, lo cual la idea es que no lo realice.

En resumen, necesito encontrar un metodo en el que con php, apache o el medio que sea, pueda obtener el usuario que se conecta al servidor donde esta la aplicion y validar si existe y dejarlo pasar sin pedir contraseña

Espero me puedan ayudar.

2
  • No creo que haya una manera para eso, lo único que se me ocurre a bote pronto es usar las IPs locales, dando por sentado que cada usuario va a conectarse siempre desde la misma IP. Por otro lado, no sé cómo se les ha ocurrido no pedir contraseña, hay medidas para pedirla sólo la primera vez, o de vez en cuando, como recordar la contraseña en el navegador, poner un tiempo de caducidad de sesión enorme (días, semanas,...), usar una cookie específica... Yo recomendaría a quienes te pidieron eliminar el login tirar por alguno de esos caminos, pero pasando por pedir la contraseña al menos una vez. Commented el 19 nov. 2021 a las 1:38
  • Trate de explicarles, pero lo requieren asi. Quise utilizar AD, pero con xampp se produce conflicto al utilizar puertos y ademas no supe bien como configurarlo.
    – Oriel
    Commented el 19 nov. 2021 a las 22:39

2 respuestas 2

2

A las finales, despues de una extensa charla... logre acceder a AD y convencer que las validaciones deben por usuario y contraseña, sin obviar esta ultima. Como menciono Pablo Bustos arriba, opte por utilizar LDAP de PHP y una funcion que me resulto muy util, sin tener que cambiar configuraciones de Apache ni nada por el estilo:

<?php

header("Content-Type: text/html; charset=utf-8");
define('DOMINIO', 'corp.dominio.com');
define('DN', 'dc=corp,dc=dominio,dc=com');

function validateLDAP($user,$pass){

    $ldaprdn = trim($user).'@'.DOMINIO;
    $ldappass = trim($pass);
    $ds = DOMINIO;
    $dn = DN;
    $puertoldap = 389;

    $ldapconn = ldap_connect($ds,$puertoldap);
    ldap_set_option($ldapconn, LDAP_OPT_PROTOCOL_VERSION,3);
    ldap_set_option($ldapconn, LDAP_OPT_REFERRALS,0);
    $ldapbind = @ldap_bind($ldapconn, $ldaprdn, $ldappass);

        if ($ldapbind){
            $filter="(|(SAMAccountName=".trim($user)."))";
            $fields = array("SAMAccountName");
            $sr = @ldap_search($ldapconn, $dn, $filter, $fields);
            $info = @ldap_get_entries($ldapconn, $sr);
            $infoUser = $info[0]["samaccountname"][0];
        }else{
            $infoUser = NULL;
        }
    
    ldap_close($ldapconn);
    return $infoUser;
    
}

Esta funcion realiza la conexion y la consulta si existe el usuario en AD, super sencilla, entonces con esto, solo creo un formulario y recibo los parametros por POST y ejecuto la funcion:

$usuario = validateLDAP($ldaprdn, $ldappass);

if ($usuario != NULL) echo "Bienvenido " . $usuario;
    else echo "Usuario no existe en sistema";

Con estas pocas lineas de codigo logro la autenticacion y el usuario logra entrar al sistema.

Espero esto tambien pueda ayudar a alguien mas.

1
  • AD era la mejor opción. Por seguridad ningún lenguaje, ni siquiera javascript, que está embebido, permite extraer datos del lado del cliente a traves del navegador. Lo único a lo que puedes acceder es al user-agent y al IP. Algunos sistemas logran autologuearse usando plugins o algun componente externo, pero no vale la pena desarrollar eso para cada navegador y tener más cosas para mantener.
    – aeportugal
    Commented el 25 nov. 2021 a las 17:19
0

Recomiendo usar LDAP, claro que la empresa debe tener sus usuarios en un Active Directory, así podrás verificar la autenticación de las credenciales que ingresen con las que tienen en Windows. Obviamente, el usuario lo tendrás que registrar en una base de datos para que implementes un método de mantener la sesión abierta. Así validarías una sola vez la autenticación del usuario y con sus credenciales de Windows.

Puedes registrar el usuario en la base de datos cuando hagas la validación de las credenciales con LDAP y traer los datos que necesites como el nombre completo, correo, etc.

1
  • Seria ideal utilizar ese metodo, pero no tengo acceso a esas credenciales lamentablemente, no tenemos atribuciones para tener las credenciales de AD, ya que el sistema que estamos implementando es de reportes para ciertos usuarios, no implica toda la empresa.
    – Oriel
    Commented el 23 nov. 2021 a las 0:05

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.