引言
在开发过程中，我们经常需要php脚本去访问受http认证保护的外部资源，例如获取监控摄像头或nvr的截图。然而，一个常见的问题是，当我们在浏览器或使用wget等命令行工具访问同一url时一切正常，php脚本却频繁返回“401 unauthorized”错误。这通常不是因为凭据错误，而是因为php脚本未能正确地与服务器进行认证协商。本文将深入探讨这一问题，并提供使用php curl库解决http digest认证的专业方法。
HTTP认证机制概述
HTTP协议定义了几种认证机制，其中最常见的是Basic认证和Digest认证。
- Basic认证 (基本认证)：这是一种简单的认证方式，用户凭据（用户名和密码）经过Base64编码后，直接包含在HTTP请求头的Authorization字段中。它的主要缺点是安全性较低，因为Base64编码并非加密，凭据很容易被截获和解码。
- Digest认证 (摘要认证)：相比Basic认证，Digest认证提供了更高的安全性。它不会在网络上传输明文密码或Base64编码的密码。相反，客户端和服务器会通过一个挑战-响应（challenge-response）机制，使用密码的哈希值（通常是MD5）来验证用户身份。服务器发送一个“挑战”（challenge），包含一个随机数（nonce），客户端使用用户名、密码、随机数和请求信息计算出一个“响应”（response）哈希值，并将其发送给服务器进行验证。
浏览器通常能够自动识别并处理服务器请求的认证类型（Basic或Digest），并进行相应的认证协商。然而，PHP脚本在进行HTTP请求时，需要明确指定或配置所使用的认证类型。
常见PHP请求方式及其局限性
在PHP中，有多种方式可以发起HTTP请求，但并非所有方式都能很好地处理复杂的认证机制。
1. URL中直接嵌入凭据
这是一种简单但极不推荐的方式，通常用于Basic认证，但对Digest认证无效，且存在安全风险和特殊字符处理问题。
立即学习“PHP免费学习笔记（深入）”；
局限性：这种方法不仅不安全，还可能因为密码中包含特殊字符（如!）而导致URL解析错误或认证失败。对于Digest认证，这种方式更是无法生效。
2. file_get_contents结合stream_context_create
这种方法允许通过流上下文（stream context）自定义HTTP请求头，可以用于设置Basic认证头。
array(
'header' => "Authorization: Basic " . base64_encode("$username:$password")
)
));
$data = file_get_contents($url, false, $context);
// ... 处理数据
?>局限性：此方法虽然比直接嵌入URL更规范，但它明确地发送了Basic认证头。如果服务器要求的是Digest认证，此请求仍将失败并返回401错误。
3. cURL库与Basic认证
PHP的cURL库是进行HTTP请求的强大工具，支持多种认证方式。然而，如果错误地指定了认证类型，仍然会失败。
局限性：尽管cURL功能强大，但如果服务器实际使用的是Digest认证，明确指定CURLAUTH_BASIC将导致认证失败。
识别正确的认证方式
解决401错误的关键在于识别服务器所要求的具体认证方式。通常可以通过以下途径：
- 检查WWW-Authenticate响应头：当服务器返回401错误时，其响应头中会包含WWW-Authenticate字段，指示了支持的认证类型和相关参数（如realm、nonce）。例如，WWW-Authenticate: Digest realm="...", nonce="..."表明服务器要求Digest认证。
- 分析命令行工具输出：像wget这样的工具在尝试认证时，会将其协商过程打印到控制台。在示例中，wget的输出清晰地显示了“Authentication selected: Digest realm=...”字样，这直接指明了Digest认证是成功的关键。
使用cURL实现HTTP Digest认证
一旦确定服务器要求Digest认证，使用cURL进行配置就非常直接了。关键在于将CURLOPT_HTTPAUTH选项设置为CURLAUTH_DIGEST。
以下是正确实现HTTP Digest认证的PHP cURL代码示例：
代码解析：
- curl_init(): 启动一个cURL会话。
- CURLOPT_URL: 指定要请求的URL。
- CURLOPT_RETURNTRANSFER: 设置为1（true）表示cURL执行成功后将结果作为字符串返回，而不是直接输出到浏览器。这对于处理二进制数据（如图片）或API响应非常有用。
- CURLOPT_HTTPAUTH, CURLAUTH_DIGEST: 这是解决问题的核心。它明确告诉cURL库，服务器要求的是HTTP Digest认证，cURL将自动处理挑战-响应机制。
- CURLOPT_USERPWD: 设置用于认证的用户名和密码，格式为"username:password"。cURL会根据CURLOPT_HTTPAUTH的设置，自动将这些凭据用于正确的认证流程。
- curl_exec($ch): 执行cURL会话并返回结果。如果发生错误，它将返回false。
- curl_close($ch): 关闭cURL会话并释放所有资源。
增强的错误处理与调试
在PHP中进行HTTP请求时，健壮的错误处理至关重要。仅凭401错误信息往往不足以诊断问题。
- 检查curl_exec返回值：curl_exec()在请求失败时会返回false。务必检查此返回值。
- 使用curl_error()和curl_errno()：当curl_exec()返回false时，curl_error($ch)将提供一个描述性错误字符串，而curl_errno($ch)则返回一个错误代码。这些信息对于调试网络问题、SSL证书问题或cURL配置错误非常有帮助。
- 开启详细日志：在开发和调试阶段，可以设置curl_setopt($ch, CURLOPT_VERBOSE, true);。这会使cURL输出详细的请求和响应过程，包括发送的头部、接收的头部以及认证协商的细节，这对于理解问题非常有价值。
注意事项
- 凭据管理：避免在代码中硬编码用户名和密码。建议使用环境变量、配置文件或更安全的凭据管理系统来存储和获取敏感信息。
- URL编码：虽然cURL的CURLOPT_USERPWD会正确处理用户名和密码，但如果URL本身包含特殊字符（除了查询参数），确保它们被正确地URL编码。
- 网络环境：确保运行PHP脚本的服务器（例如Raspberry Pi上的Apache）能够访问目标资源（HikVision NVR）。检查防火墙规则、网络路由和IP地址配置。
- 服务器兼容性：虽然Digest认证提供了更高的安全性，但并非所有服务器都支持它。在遇到认证问题时，始终检查目标服务器的WWW-Authenticate响应头以确认其支持的认证类型。
- 代理设置：如果PHP服务器通过HTTP代理访问外部资源，可能需要配置cURL的代理选项，例如CURLOPT_PROXY和CURLOPT_PROXYPORT。
总结
当PHP脚本在访问受保护的HTTP资源时遇到“401 Unauthorized”错误，而浏览器或wget却能成功访问时，最常见的原因是PHP脚本未能正确处理HTTP认证机制。通过分析服务器的WWW-Authenticate响应头或命令行工具的输出，我们可以识别出正确的认证类型（例如HTTP Digest）。然后，利用PHP cURL库的强大功能，通过设置CURLOPT_HTTPAUTH为CURLAUTH_DIGEST，并结合完善的错误处理机制，可以有效地解决这类问题，确保PHP应用程序能够稳定、安全地访问受保护的资源。
