Subversion Repositories eFlore/Applications.del

<?php
// declare(encoding='UTF-8');
/**
 * Classe de controle d'accès HTTP AUTH aux services de DEL, à n'utiliser
 * que dans ce cas (HTTP AUTH), et pas dans le cas de l'identification générale sur le SSO
 *
 * Cette classe propose des méthodes permettant :
 *  - l'authentification HTTP pour bloquer ou autoriser l'accès
 *  - de déterminer le statut d'admin des utilisateurs
 *
 * @category  DEL
 * @package   Services
 * @package   Bibliotheque
 * @version   0.1
 * @author    Mathias CHOUET <mathias@tela-botanica.org>
 * @author    Jean-Pascal MILCENT <jpm@tela-botanica.org>
 * @author    Aurelien PERONNET <aurelien@tela-botanica.org>
 * @license   GPL v3 <http://www.gnu.org/licenses/gpl.txt>
 * @license   CECILL v2 <http://www.cecill.info/licences/Licence_CeCILL_V2-en.txt>
 * @copyright 1999-2014 Tela Botanica <accueil@tela-botanica.org>
 */
class ControleAcces {

        protected $conteneur;
        protected $bdd;

        public function __construct($conteneur) {
                $this->conteneur = $conteneur;
                $this->bdd = $this->conteneur->getBdd();
        }

        /**
         * Vérifie que l'IP du client est dans la liste "ip_autorisees" de la config
         * @throws Exception
         * @return boolean
         */
        public function controlerIpAutorisees() {
                $ipsAutorisees = $this->conteneur->getParametreTableau('ip_autorisees');

                $remoteIp = filter_input(INPUT_SERVER, 'REMOTE_ADDR', FILTER_VALIDATE_IP);
                $serverIp = filter_input(INPUT_SERVER, 'SERVER_ADDR', FILTER_VALIDATE_IP);
                if (in_array($remoteIp, $ipsAutorisees) == false) {
                        if ($remoteIp != $serverIp) {// ATTENTION : maintenir ce test à l'intérieur du précédent
                                $message = "Accès interdit. \n".
                                        "Vous n'êtes pas autorisé à accéder à ce service depuis '$remoteIp' !\n";
                                $code = RestServeur::HTTP_CODE_ACCES_NON_AUTORISE;
                                throw new Exception($message, $code);
                        }
                }
                return true;
        }

        /**
         * Exige qu'un administrateur s'autenthentifie à l'aide de HTTP AUTH
         */
        public function demanderAuthentificationAdmin() {
                if (!$this->etreAdminAutoriseParHttp()) {
                        $this->authentifierAdmin();
                }
        }

        /**
         * Exige qu'un utilisateur s'autenthentifie à l'aide de HTTP AUTH
         */
        public function demanderAuthentificationUtilisateur() {
                if (!$this->etreUtilisateurAutoriseParHttp()) {
                        $this->authentifierUtilisateur();
                }
        }

        /**
         * Lit les entêtes HTTP AUTH et vérifie si l'utilisateur
         * existe (courriel / mot de passe); si $doitEtreAdmin est true,
         * vérifiera également que l'utilisateur est administrateur de Del
         * 
         * @return boolean true si l'utilisateur est identifié, false sinon
         */
        protected function etreUtilisateurAutoriseParHttp($doitEtreAdmin=false) {
                $identifiant = $this->getAuthIdentifiant();
                $mdp = $this->getAuthMotDePasse();
                $existe = $this->obtenirUtilisateur($identifiant, $mdp);

                $autorisation = (isset($existe) && $existe) ? true :false; // c'est quoi ces tests de clodos ??

                if ($doitEtreAdmin === true) {
                        $autorisation = ($autorisation && $this->etreAdmin($identifiant));
                }
                return $autorisation;
        }

        /**
         * Lit les entêtes HTTP AUTH et vérifie que l'utilisateur est identifié
         * et est administrateur de Del
         * 
         * @return boolean true si l'utilisateur est identifié et admin de Del, false sinon
         */
        protected function etreAdminAutoriseParHttp() {
                return $this->etreUtilisateurAutoriseParHttp(true);
        }

        /**
         * Lit l'identifiant utilisateur dans les entêtes HTTP AUTH
         * @return String l'identifiant utilisateur ou null
         */
        protected function getAuthIdentifiant() {
                $id = (isset($_SERVER['PHP_AUTH_USER'])) ? $_SERVER['PHP_AUTH_USER'] : null;
                return $id;
        }

        /**
         * Lit le mot de passe dans les entêtes HTTP AUTH
         * @return String le mot de passe ou null
         */
        protected function getAuthMotDePasse() {
                $mdp = (isset($_SERVER['PHP_AUTH_PW'])) ? $_SERVER['PHP_AUTH_PW'] : null;
                return $mdp;
        }

        /**
         * Envoie un message HTTP 401 / une boîte de login HTTP AUTH avec des
         * messages correspondant à la demande d'authentification d'un administrateur
         * TODO: externaliser noms et adresses spécifiques à Tela Botanica
         * @return boolean
         */
        protected function authentifierAdmin() {
                $message_accueil = "Veuillez vous identifier avec votre compte administrateur Tela Botanica.";
                $message_echec = "Accès limité aux administrateurs de DEL.\n".
                        "Votre tentative d'identification a échoué.\n".
                        "Actualiser la page pour essayer à nouveau si vous êtes bien inscrit comme administrateur.";
                return $this->authentifier($message_accueil, $message_echec, 'Admin');
        }

        /**
         * Envoie un message HTTP 401 / une boîte de login HTTP AUTH avec des
         * messages correspondant à la demande d'authentification d'un utilisateur
         * TODO: externaliser noms et adresses spécifiques à Tela Botanica
         * @return boolean
         */
        protected function authentifierUtilisateur() {
                $message_accueil = "Veuillez vous identifier avec votre compte Tela Botanica.";
                $message_echec = "Accès limité aux utilisateurs de DEL.\n".
                        "Inscrivez vous http://www.tela-botanica.org/page:inscription pour le devenir.\n".
                        "Votre tentative d'identification a échoué.\n".
                        "Actualiser la page pour essayer à nouveau si vous êtes déjà inscrit ou contacter 'accueil@tela-botanica.org'.";
                return $this->authentifier($message_accueil, $message_echec, 'Utilisateur');
        }

        /**
         * Envoie l'authentification HTTP AUTH , et accepte un mode "debug" pour
         * les petits malins
         */
        protected function authentifier($message_accueil, $message_echec, $type) {
                $id = $this->getAuthIdentifiant();
                if (!isset($id)) {
                        $this->envoyerAuth($message_accueil, $message_echec);
                } else {
                        if ($type == 'Utilisateur' && $this->getAuthMotDePasse() == 'debug') {
                                $autorisation = true;
                        } else {
                                $methodeAutorisation = "etre{$type}Autorise";
                                $autorisation = $this->$methodeAutorisation();
                        }
                        if ($autorisation == false) {
                                $this->envoyerAuth($message_accueil, $message_echec);
                        }
                }
                return true;
        }

        /**
         * Envoie un message HTTP 401 / une boîte de login HTTP AUTH
         * @param string $message_accueil
         * @param string $message_echec
         */
        private function envoyerAuth($message_accueil, $message_echec) {
                header('HTTP/1.0 401 Unauthorized');
                header('WWW-Authenticate:  realm="'.mb_convert_encoding($message_accueil, 'ISO-8859-1', 'UTF-8').'"');
                header('Content-type: text/plain; charset=UTF-8');
                print $message_echec;
                exit(0);
        }

        /**
         * Authentifie et récupère un utilisateur directement depuis la table des
         * utilisateurs Del, utile pour l'authentification HTTP AUTH - ne pas
         * utiliser pour les services Del qui doivent être branchés au SSO
         */
        protected function obtenirUtilisateur($login, $motDePasse) {
                $login = $this->bdd->proteger($login);
                $motDePasse = $this->bdd->proteger($motDePasse);
                $requete = 'SELECT id_utilisateur, nom, prenom, courriel, mot_de_passe '.
                        'FROM del_utilisateur AS du '.
                        "WHERE courriel = $login ".
                        "       AND mot_de_passe = MD5($motDePasse) ".
                        ' -- '.__FILE__.':'.__LINE__."\n";
                $utilisateur = $this->bdd->recuperer($requete);
                return $utilisateur;
        }

        /**
         * Vérifie dans la table des utilisateurs Del qu'un utilisateur
         * (identifié par son courriel) est administrateur de Del
         * 
         * @param string $courriel
         * @return boolean true si l'utilisateur est administrateur de Del, false sinon
         */
        protected function etreAdmin($courriel) {
                $courriel = $this->bdd->proteger($courriel);
                $requete = 'SELECT dui.admin '.
                        'FROM del_utilisateur AS du LEFT JOIN del_user_infos AS dui ON (du.id_utilisateur = dui.id_utilisateur) '.
                        "WHERE du.courriel = $courriel ".
                        ' -- '.__FILE__.':'.__LINE__."\n";
                $infoUtilisateur = $this->bdd->recuperer($requete);
 
                $etreAdmin = $this->verifierDroitAdmin($infoUtilisateur['admin']);
                return $etreAdmin;
        }

        /**
         * Vérifie que la valeur "admin" d'un profil utilisateur correspond à la valeur
         * attendue dans la config
         * 
         * @return true si sébon, false si sépabon
         */
        protected function verifierDroitAdmin($droit) {
                $droitAdmin = $this->conteneur->getParametre('droit_superadmin');
                $etreAdmin = false;
                if (isset($droit) && $droit == $droitAdmin) {
                        $etreAdmin = true;
                }
                return $etreAdmin;
        }

}