SUL2

Uyarı:

Oturum açmış tüm kullanıcıların merkezi oturum açma vikisinde bir oturumu olacağından, mümkün olduğunca az sayıda uzantı yüklü yeni bir viki oluşturmanız önerilir (bu amaçla mevcut bir viki kullanmamanız). Bu, XSS güvenlik açıkları riskini azaltacaktır.

Uyarı:

Evrensel oturum açma, SameSite çerez politikası nedeniyle daha yeni Google Chrome sürümlerinde bozulabilir. Düzeltmek için şunu eklemeniz gerekir: $wgCookieSameSite = "None"; $wgUseSameSiteLegacyCookies = true; Ek olarak, sitenizi HTTPS altında çalıştırmalısınız.

Temmuz 2013'te WMF, kullanıcıları birden çok vikiye kaydetme yaklaşımını değiştirdi. Bu yeni yaklaşım için yapılandırıldığında, başarılı oturum açma ve hesap oluşturma işleminden sonra CentralAuth bir "merkezi oturum açma vikisi" üzerinde Special:CentralLogin/start?token=somevalue ile yeniden yönlendirir, bu da o vikide çerezleri ayarlar ve ardından oturum açılmış vikiye yeniden yönlendirir. "Oturum açma/hesap oluşturma başarılı" sayfasını çıkarır, bunun yerine kullanıcının başlangıçta bulunduğu "geri dön" sayfasına yeniden yönlendirir. Daha önce "oturum açma/hesap oluşturma başarılı" sayfasında kullanılan simgelerin yerine o sayfanın altbilgisine 1x1 piksel resimleri yerleştirir.

Bunun için ayarlar, kabaca,

# General CentralAuth configuration
$wgCentralAuthCookies = true;
// default is to use the local wiki database
$wgVirtualDomainsMapping['virtual-centralauth'] = [ 'db' => 'centralauthDatabaseName' ];
$wgCentralAuthAutoMigrate = true;
$wgCentralAuthAutoLoginWikis = [
    # Mapping from domain name to wiki id for other wikis to automatically login into
    'enwiki.mediawiki.mwdd.localhost' => 'enwiki',
];

# Activates the redirect to the "central login wiki"
$wgCentralAuthLoginWiki = 'WikiIdOfLoginWiki';

$wgCentralAuthLoginWiki is the ID (usually the database-name) of the wiki to which CentralAuth will redirect on login and create account actions.

SUL3

In 2025 the WMF setup was changed so that authentication happens (e.g. users input their passwords) on a shared domain, instead of each wiki's individual domains. The shared domain can be configured to serve each of the wikis in the farm. This was motivated by changes to browser cookies handling that might prevent cookies from being set during the redirect through a central wiki. See SUL3 for more details.

To configure your wiki farm to use SUL3:

1. Make sure that your wiki farm is configured using either the sites table or $wgConf (see #Setup). $wgCentralAuthLoginWiki and $wgLocalDatabases should also be set. Other parts of CentralAuth are somewhat tolerant if this is missing, but SUL3 will crash.
   • This is needed even when setting up a local environment for development with just one wiki, but it can be greatly simplified, see below.
2. Configure your server so that it will serve one of your wikis under another domain. If you had SUL2 configured, use the login wiki, otherwise just pick one.
   • If you're setting up a local environment for development, and you're hosting your only wiki on http://localhost (optionally with a port), note that all localhost subdomains resolve to your machine, so you can start using e.g. http://auth.localhost and http://wiki.localhost without any configuration needed.
3. Set $wgCentralAuthSharedDomainCallback to return your new domain. Note that this is a callback function, not a string.
4. Set $wgCentralAuthEnableSul3 = true;

You might need to adjust some MediaWiki config settings to support this:

• $wgServer and $wgCanonicalServer must be conditionally set to the auth domain when accessing your wiki through the auth domain, otherwise you will get a redirect loop when trying to log in. CentralAuth reads the "real" canonical server from the wiki farm configuration defined in step 1.
• In order to serve more than one wiki from the auth domain, adjust $wgCentralAuthSharedDomainCallback to add a path prefix after the domain name that depends on the wiki, configure your server to serve the right wiki depending on that prefix, and conditionally adjust $wgScriptPath, $wgArticlePath etc. to match. This is tricky to get right, so if you're setting up a local environment for development, don't bother.
• Review your MediaWiki cookie settings to make sure the wiki can set cookies while accessed through the auth domain, and that they won't conflict with the wiki's normal cookies. Conditionally setting $wgCentralAuthCookiePrefix when accessing your wiki through the auth domain is a good way to avoid cookie name conflicts.

Below is a minimal configuration to run CentralAuth with SUL3 on a single-wiki "farm" on your development machine:

// Minimal setup for a single-wiki "farm"
$wgConf->wikis = [ $wgDBname ];
$wgConf->suffixes[] = '';
$wgConf->settings = [
	'wgServer' => [ 'default' => 'http://wiki.localhost:8080' ],
	'wgArticlePath' => [ 'default' => '/wiki/$1' ],
];
// Misc settings needed by CentralAuth
$wgCentralAuthLoginWiki = $wgDBname;
$wgLocalDatabases = [ $wgDBname ];

// Enable CentralAuth SUL3
$wgCentralAuthSharedDomainCallback = fn () => 'http://auth.localhost:8080'; 
$wgCentralAuthEnableSul3 = true;

// Point $wgServer to whichever domain the wiki was accessed through
$wgCanonicalServer = $wgServer = MediaWiki\Request\WebRequest::detectServer( true );
if ( $wgServer === 'http://auth.localhost:8080' ) {
	// Conditional config for the shared auth domain goes here
}

Önbellek sorunları

En iyi sonuçlar için memcached kullanılması önerilir. Yalnızca tek bir sunucunuz varsa, APCu gibi hızlandırıcı önbellekleri de (CACHE_ACCEL) çalışabilir, ancak birden fazla sunucunuz varsa bunları kullanmayın. Önbellek ayarlamadıysanız (ör. CACHE_NONE) $wgMainCacheType için veya CACHE_DB kullanıyorsanız, tüm vikilerinizin aynı önbelleğe alma tablosunu kullandığından emin olmanız gerekir.

Varsayılan olarak, viki grubunuzdaki her viki, $wgMainCacheType CACHE_NONE veya CACHE_DB olarak ayarlandığında, kendi veritabanındaki (kendi db öneki ile) objectcache tablosunu kullanır. Bunun CentralAuth ile çalışmasını sağlamak için, vikilere merkezi bir önbellek tablosu kullanmalarını söylememiz gerekir.

CREATE TABLE centralauth.objectcache LIKE enwiki.objectcache

Ardından, kendi tabloları yerine merkezi tabloyu kullanmalarını söylemek için tüm vikilere aşağıdaki yapılandırmayı ekleyin:

$wgSharedDB = 'centralauth'; // or whatever database you use for central data
$wgSharedTables = [ 'objectcache' ]; // remember to copy the table structure's to the central database first
$wgCentralAuthSessionCacheType = CACHE_DB; // Tell mediawiki to use objectcache database for central auth.

When running PHPUnit tests locally with your wiki farm and do not want them to fail due to an attempt to clone database tables with the shared tables config above, use:

if ( defined( 'MW_PHPUNIT_TEST' ) ) {
	$wgSharedTables = [];
} else {
	$wgSharedTables = [ 'objectcache' ];
}

Since 2023, CentralAuth does not support mixed-protocol HTTP/HTTPS wikis, only pure-HTTPS wikis (with $wgForceHTTPS set to true) and pure-HTTP wikis (primarily for local testing). See issue T348852.

Since MediaWiki 1.41, you can configure database virtual domains mapping for CentralAuth, and this replaced $wgCentralAuthDatabase. To setup virtual domains mapping with CentralAuth, use:

// 'centralauth' is the name of the your CentralAuth database.
$wgVirtualDomainsMapping['virtual-centralauth'] = [ 'db' => 'centralauth' ];

Kullanıcı hakları

Centralauth birkaç yeni kullanıcı haklarını tanımlar:

Tek kullanıcı girişi (SUL)

Birden fazla vikide hesabı olan bir kullanıcı, küresel kullanıcı hesabını oluşturmak için Special:MergeAccount kullanabilir ve bu hesap daha sonra herhangi bir vikide kullanılabilir. centralauth-unmerge iznine sahip kullanıcılar (varsayılan olarak görevlilere verilir), parolaların tamamının önceden birleştirme ayarına sıfırlandığı bir genel hesabın birleştirilmesini geri alabilir. Kullanıcı hesapları artık küresel olarak da yeniden adlandırılabilir.

Küresel kullanıcıları kilitleme ve gizleme

Global bir hesap, sırasıyla centralauth-lock ve centralauth-suppress izinlerine sahip bir kullanıcı tarafından kilitlenebilir veya gizlenebilir ve varsayılan olarak yerel 'stewards' grubuna verilir. Kilitli bir küresel hesap, halihazırda oturum açmış olduğu herhangi bir vikideki herhangi bir oturumdan hemen çıkarılır. Gizli bir küresel hesabın kullanıcı adı, küresel hesap günlüğü dışında hiçbir günlükte görünmez.

Viki setleri

Bir viki seti, globalgrouppermissions hakkına sahip bir kullanıcı tarafından belirtilen bir viki grubudur. Kümeler, seçmeli (vikiler varsayılan olarak içinde değildir) veya devre dışı bırakabilir (seçilmediği sürece vikilerdir) olabilir.

Küresel kullanıcı grupları

Kurulum bölümünde açıklandığı gibi küresel kullanıcı gruplarını etkinleştirdikten sonra, taşınan bir kâhya, küresel kullanıcı gruplarını ve bunların haklarını yapılandırmak için Special:GlobalGroupPermissions arabirimini kullanabilir. Grubun yalnızca belirli bir viki kümesinde etkin olacağı belirtilmediği sürece, varsayılan olarak tüm vikilerde (içindeki kullanıcıların tüm vikilerde hakları vardır) genel bir kullanıcı grubu etkindir (gruptaki kullanıcılar yalnızca kümedeki bir vikide iseler haklara sahiptir). Küresel grup izinleri Special:ListUsers altında değil, Special:GlobalUsers içinde listelenmiştir. globalgroupmembership iznine sahip bir kullanıcı tarafından atanırlar (varsayılan olarak genel grup stewards) ve $wgGroupPermissions ile tanımlanan yerel haklar bunu yapmasa bile kullanıcıya belirtilen hakları verir.