Integração de Sistemas em PHP e Delphi usando WebServices, por Saulo Arruda

Todos nós sabemos que um WebService é disponibilizado na Web e por isso, qualquer pessoa pode usar um WSDL Importer da vida e sair fazendo chamadas do seu serviço.

Como não é isso que queremos nesse caso, precisamos implementar algum tipo de autenticação. A primeira idéia era usar autenticação HTTP. Mas antes de implementar algo em PHP, resolvi testar os componentes em Delphi para ver se é possível fazer isso. Achei um artigo que pareceu funcionar, mas não fez diferença alguma.

A segunda opção era implementar um método login que retorna um ticket usando uma idéia parecida com sistemas de Single Sing On. Na primeira chamada, o cliente chama um método login passando usuário e senha e recebe um ticket que será passado como parâmetro nas próximas chamadas.

Desta forma, o método login deve ser definido e registrado conforme o código abaixo:

<?php

function login($usuario, $senha) {

if ($usuario == "service" && $senha == "secret") {
$ticket = md5(uniqid());

session_name($ticket);

session_start();

$_SESSION["login"] = true;

return $ticket;
} else {

return "401: Usuário ou senha inválidos";
}

}

// Registra o método login

$server->register("login",

array("usuario" => "xsd:string",

"senha" => "xsd:string"),

array("return" => "xsd:string"),

"urn:SolicitacaoService",

"login",

"rpc",

"encoded");
?>

O ticket é gerado usando a função uniqid, que garante a geração de um identificador único, e aplicando um hash MD5 ao “id” gerado. Esse ticket é armazenado em uma variável da sessão.

Um detalhe importante da implementação da função login é usar a função session_name($ticket) para nomear a sessão com o ticket gerado. Desta forma não existe risco de falhas de segurança, pois cada ticket gerado cria uma nova sessão.

Para terminar, a função abaixo valida se o ticket passado por parâmetro é válido:

<?php

function checkLogin($ticket) {

session_name($ticket);

session_start();

return isset($_SESSION["login"]);
}
?>

A implementação da função gravar terá sua assinatura alterada para receber o ticket como parâmetro e validá-lo, conforme o código abaixo:

<?php

function gravar($arrAttr) {
if (!checkLogin($ticket)) {
return "401: Autenticação não encontrada";

}

return "ACK";

}

// Registra o método gravar

$server->register("gravar",

array("ticket" => "xsd:string",

"arrAttr" => "tns:ArrayOfstring"),

array("return" => "xsd:string"),

"urn:SolicitacaoService",

"gravar",

"rpc",

"encoded");

No cliente, novamente devemos usar o WSDL Importer para gerar a unit do serviço e alterar o código para chamar primeiro o método login, conforme o código abaixo:

procedure TForm1.btnLoginClick(Sender: TObject);

var arr : ArrayOfstring;
ticket: string;

begin

solicitacaoService := GetSolicitacaoServicePortType();
ticket := solicitacaoService.login('service', 'secret');

// Definição do array com os parâmetros...

ShowMessage(solicitacaoService.gravar(ticket, arr));

end;