在开发过程中，我们经常需要通过编程方式访问受http认证保护的资源，例如网络摄像头（nvr/dvr）提供的实时视频流或快照。然而，即使在浏览器或命令行工具（如wget）中能够成功访问，php脚本却可能频繁遭遇“401 unauthorized”错误。本文将深入分析这一问题的原因，并提供一个基于http digest认证的可靠解决方案。
理解HTTP认证机制：Basic与Digest
HTTP协议定义了几种认证机制，其中最常见的是Basic认证和Digest认证。
- HTTP Basic认证：这是一种简单的认证方式，用户凭据（用户名和密码）经过Base64编码后，直接包含在请求头中发送。它的主要缺点是安全性较低，因为Base64编码并非加密，凭据很容易被截获和解码。
- HTTP Digest认证：这是一种更安全的认证方式。服务器在响应401错误时会提供一个“nonce”值，客户端使用该nonce、用户名、密码以及请求方法和URI等信息计算出一个哈希值（摘要），然后将这个摘要发送给服务器进行验证。这样，实际的密码就不会在网络上传输，提高了安全性。
许多现代设备和服务器（如HikVision NVR）为了提高安全性，可能默认或强制使用Digest认证，或者在客户端尝试Basic认证失败后，要求进行Digest认证。
PHP访问受保护资源的常见尝试与失败原因
当PHP脚本尝试访问受Digest认证保护的资源时，如果使用了不正确的认证方式，就会收到401错误。以下是几种常见的PHP实现方式及其可能失败的原因。
1. 使用 file_get_contents 包含凭据
直接在URL中嵌入用户名和密码是一种便捷的方式，但file_get_contents函数对这种URL格式的支持可能有限，或者底层HTTP客户端实现不具备处理复杂认证流的能力。
立即学习“PHP免费学习笔记（深入）”；
失败原因： 这种方式通常无法处理Digest认证的挑战-响应机制，直接导致401错误。
2. 使用 stream_context_create 进行Basic认证
通过stream_context_create创建HTTP上下文，并设置Basic认证头是file_get_contents的更高级用法。
array(
'header' => "Authorization: Basic " . base64_encode("$username:$password")
)
));
$data = file_get_contents($url, false, $context);
if ($data === false) {
echo "ERROR: file_get_contents with Basic auth failed. Check server logs for 401 Unauthorized.\n";
} else {
header('Content-type: image/jpeg');
echo $data;
}
?>失败原因： 尽管明确发送了Basic认证头，但如果服务器要求Digest认证，此方法仍将失败，因为服务器会忽略Basic认证并继续发送Digest挑战。
3. 使用 cURL 进行Basic认证
cURL库提供了更强大的HTTP请求控制能力，包括多种认证方式。然而，如果错误地指定为Basic认证，同样会失败。
失败原因： 与stream_context_create类似，如果服务器期望Digest认证，即使使用cURL并指定CURLAUTH_BASIC，也会因为认证类型不匹配而收到401错误。
诊断问题：从wget输出中获取线索
当浏览器能够访问而PHP脚本失败时，一个关键的诊断步骤是使用命令行工具（如wget或curl）在PHP脚本运行的环境中尝试访问，并观察其输出。这些工具通常会提供更详细的认证过程信息。
例如，在问题描述中，wget的输出清晰地显示了：
Authentication selected: Digest realm="da9ea0f8f352408658c64b0a", domain="::", qop="auth", nonce="e1f5166b2054a18a2a17595a4bbfaf23:1635894137125", opaque="", algorithm="MD5", stale="FALSE" ... HTTP request sent, awaiting response... 200 OK
这明确指示服务器选择了Digest认证，并且wget成功地完成了Digest认证流程。这个信息是解决问题的关键。
解决方案：使用cURL进行HTTP Digest认证
既然服务器要求Digest认证，那么PHP脚本也必须使用Digest认证才能成功。cURL库提供了CURLAUTH_DIGEST选项来支持这种认证方式。
在这个解决方案中，curl_setopt($ch, CURLOPT_HTTPAUTH, CURLAUTH_DIGEST); 是核心。它告诉cURL客户端使用HTTP Digest认证机制与服务器进行通信。cURL会自动处理Digest认证的挑战-响应过程，包括计算摘要和发送正确的认证头。
注意事项与最佳实践
- 错误处理至关重要：始终检查curl_exec()的返回值。如果返回false，使用curl_error($ch)获取详细的错误信息，这对于调试至关重要。同时，curl_getinfo($ch, CURLINFO_HTTP_CODE)可以获取HTTP状态码，帮助判断是认证问题、网络问题还是其他服务器错误。
- 凭据安全：在生产环境中，不应将用户名和密码硬编码在脚本中。考虑使用环境变量、配置文件或秘密管理服务来安全地存储和检索凭据。
- URL编码：如果密码中包含特殊字符（如@, !, #, &等），在直接构建URL时需要进行URL编码。然而，在使用CURLOPT_USERPWD时，cURL通常会正确处理这些字符，但作为一般原则，了解URL编码的重要性仍然有益。
- User-Agent：某些服务器可能会根据User-Agent头来区分请求来源。如果遇到问题，可以尝试设置一个常见的浏览器User-Agent，例如：curl_setopt($ch, CURLOPT_USERAGENT, 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.54 Safari/537.36');
- 代理和网络配置：确保PHP运行的服务器（Raspberry Pi上的Apache）具有正确的网络配置，能够访问目标IP地址和端口，并且没有防火墙规则阻止出站HTTP请求。
总结
当PHP脚本在访问受保护的HTTP资源时遇到“401 Unauthorized”错误，而浏览器或wget等工具能够成功访问时，最常见的原因是PHP脚本使用的认证机制与服务器要求的认证机制不匹配。通过仔细分析命令行工具的输出（例如wget明确指出的Digest realm），可以确定服务器期望的认证类型。对于HTTP Digest认证，使用PHP cURL库并设置CURLOPT_HTTPAUTH为CURLAUTH_DIGEST是解决此类问题的关键。结合健壮的错误处理，可以确保PHP脚本能够稳定、安全地访问这些受保护的资源。
