PHP cURLのプロキシ認証オプション

正しいcURLオプションでプロキシの認証情報を設定し、接続先の認証を変えずに結合フィールドのURLデコードを扱います。

プロキシ認証には専用のcURLオプションがあります。サイトのログイン用にCURLOPT_USERPWDを設定してもプロキシのアカウントは設定されず、CURLOPT_HTTPAUTHを選んでもプロキシの認証方式は選ばれません。

<?php
$user = 'proxy-user';
$password = getenv('PROXY_PASSWORD');
if ($password === false) {
    throw new RuntimeException('Set PROXY_PASSWORD');
}

$ch = curl_init('https://example.com/');
curl_setopt_array($ch, [
    CURLOPT_PROXY => 'http://203.0.113.10:8080',
    CURLOPT_NOPROXY => '',
    CURLOPT_PROXYUSERPWD =>
        rawurlencode($user) . ':' . rawurlencode($password),
    CURLOPT_PROXYAUTH => CURLAUTH_BASIC,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_CONNECTTIMEOUT => 5,
    CURLOPT_TIMEOUT => 15,
]);

$body = curl_exec($ch);
if ($body === false) {
    throw new RuntimeException(curl_error($ch), curl_errno($ch));
}
echo curl_getinfo($ch, CURLINFO_RESPONSE_CODE), PHP_EOL;

文書用IPを置き換え、そのプロキシに提供された認証情報を使います。この例は意図的にBasicを選んでいます。すべてのエンドポイントが必要とすると思わず、利用サービスが対応し承認している方式を使ってください。

結合フィールドにはエンコード規則がある

libcurlの文書では、CURLOPT_PROXYUSERPWDはユーザー名とパスワードをURLデコードします。例では各要素をエンコードしてから区切り文字で結合しています。認証情報に文字どおりのパーセント列や特殊文字が含まれる場合に重要です。

プロキシのユーザー名とパスワードを別々に設定するオプションは、それぞれの値をそのまま受け取ります。

curl_setopt($ch, CURLOPT_PROXYUSERNAME, $user);
curl_setopt($ch, CURLOPT_PROXYPASSWORD, $password);

リクエスト実行前に、別の認証情報指定形式として使います。結合プロキシフィールドのデコード規則をCURLOPT_USERPWDへ自動的に当てはめないでください。libcurlは両者の違いを文書化しています。

認証する区間を分ける

CURLOPT_PROXYAUTHはプロキシ認証、CURLOPT_HTTPAUTHは接続先とのHTTP認証を選びます。両方がログインを要求するなら、同じ認証情報を両方へコピーせず、それぞれ適切なオプションを設定してください。

CURLAUTH_ANYはネゴシエーションを許可し、方式選択の前にチャレンジ・レスポンスの交換を追加する場合があります。認証情報が正しい証拠にはなりません。さらにProxy-Authorizationヘッダーを手動追加すると、ライブラリの認証処理を妨げる可能性があります。

プロキシへの平文接続で送るBasic認証情報は、サイトの後段のTLSトンネルでは保護されません。認証サービスの使い方を選ぶ際は、その通信区間を別に確認してください。

関連記事