Module Apache mod_authn_dbd

Performances et mise en cache

Certains utilisateurs de l'authentification DBD sous HTTPD 2.2/2.4 ont signalé une charge problématique au niveau de la base de données. Cela se produit en général lorsqu'une page HTML contient des centaines d'objets (comme des images, des scripts, etc...), chacun d'entre eux nécessitant une authentification. Les utilisateurs qui rencontrent ce genre de problème peuvent utiliser le module mod_authn_socache qui permet de mettre les données d'authentification en cache, et soulager ainsi la base de données de la plus grande partie de la charge.

Exemple de configuration

Voici un exemple simple d'utilisation de ce module dans un contexte d'authentification et de bases de données.

# configuration de mod_dbd modifiée pour inclure la mise en cache de
# l'authentification
DBDriver pgsql
DBDParams "dbname=apacheauth user=apache password=xxxxxx"

DBDMin  4
DBDKeep 8
DBDMax  20
DBDExptime 300

<Directory /usr/www/mon-serveur/private>
  # configuration de mod_authn_core et mod_auth_basic
  # pour mod_authn_dbd
  AuthType Basic
  AuthName "Mon serveur"

  # Pour mettre en cache les données d'authentification, placez socache
  # avant dbd
  AuthBasicProvider socache dbd

  # Aussi nécessaire à la mise en cache : dire au cache de mettre en
  # cache les recherches dbd !
  AuthnCacheProvideFor dbd
  AuthnCacheContext mon-serveur

  # configuration de mod_authz_core
  Require valid-user

  # la requête SQL de mod_authn_dbd pour authentifier un utilisateur
  AuthDBDUserPWQuery "SELECT password FROM authn WHERE user = %s"
</Directory>

Mise à disposition des informations de connexion

Si httpd a été compilé avec la version 1.3.0 ou supérieure de l'APR, pour chaque requête envoyée au serveur de base de données, toutes les valeurs de colonnes du premier enregistrement renvoyé par la requête sont affectées à des variables d'environnement avec le préfixe "AUTHENTICATE_".

Par exemple, si une requête renvoie un nom d'utilisateur, un nom complet et un numéro de téléphone, un programme CGI pourra accéder à ces informations sans avoir besoin d'effectuer une deuxième requête vers la base de données.

Ceci va entraîner une simplification considérable du code et de la configuration nécessaire de certaines applications web.

Prévention contre les injections SQL

Selon le driver DBD et le serveur d'arrière-plan que vous utilisez, vous devrez prendre garde à la sécurité dans le domaine SQL. Avec la plupart des drivers, vous n'avez rien à faire : la requête est préparée par la base de données au démarrage, et l'entrée utilisateur n'est utilisée qu'en tant que donnée. Mais vous aurez peut-être à nettoyer cette entrée. Au moment où ces lignes sont écrites, le seul driver qui peut nécessiter le nettoyage de l'entrée est FreeTDS.

Veuillez vous référez à la documentation de mod_dbd pour plus d'informations à propos de la sécurité dans ce domaine.