av一区二区在线观看_亚洲男人的天堂网站_日韩亚洲视频_在线成人免费_欧美日韩精品免费观看视频_久草视

您的位置:首頁(yè)技術(shù)文章
文章詳情頁(yè)

PHP安全-永久登錄

瀏覽:98日期:2022-09-11 18:19:25
永久登錄

永久登錄指的是在瀏覽器會(huì)話間進(jìn)行持續(xù)驗(yàn)證的機(jī)制。換句話說(shuō),今天已登錄的用戶明天依然是處于登錄狀態(tài),即使在多次訪問(wèn)之間的用戶會(huì)話過(guò)期的情況下也是這樣。

永久登錄的存在降低了你的驗(yàn)證機(jī)制的安全性,但它增加了可用性。不是在用戶每次訪問(wèn)時(shí)麻煩用戶進(jìn)行身份驗(yàn)證,而是提供了記住登錄的選擇。

圖7-2. 攻擊者通過(guò)重播用戶的cookie進(jìn)行未授權(quán)訪問(wèn)

據(jù)我觀察,最常見(jiàn)的有缺陷的永久登錄方案是將用戶名和密碼保存在一個(gè)cookie中。這樣做的誘惑是可以理解的——不需要提示用戶輸入用戶名和密碼,你只要簡(jiǎn)單地從cookie中讀取它們即可。驗(yàn)證過(guò)程的其它部分與正常登錄完全相同,因此該方案是一個(gè)簡(jiǎn)單的方案。

不過(guò)如果你確實(shí)是把用戶名和密碼存在cookie中的話,請(qǐng)立刻關(guān)閉該功能,同時(shí)閱讀本節(jié)的余下內(nèi)容以找到實(shí)現(xiàn)更安全的方案的一些思路。你將來(lái)還需要要求所有使用該cookie的用戶修改密碼,因?yàn)樗麄兊尿?yàn)證信息已經(jīng)暴露了。

永久登錄需要一個(gè)永久登錄cookie,通常叫做驗(yàn)證cookie,這是由于cookie是被用來(lái)在多個(gè)會(huì)話間提供穩(wěn)定數(shù)據(jù)的唯一標(biāo)準(zhǔn)機(jī)制。如果該cookie提供永久訪問(wèn),它就會(huì)造成對(duì)你的應(yīng)用的安全的嚴(yán)重風(fēng)險(xiǎn),所以你需要確定你保存在cookie中的數(shù)據(jù)只能在有限的時(shí)間段內(nèi)用于身份驗(yàn)證。

第一步是設(shè)計(jì)一個(gè)方法來(lái)減輕被捕獲的永久登錄cookie造成的風(fēng)險(xiǎn)。盡管cookie被捕獲是你需要避免的,但有一個(gè)深度防范流程是最好的,特別是因?yàn)檫@種機(jī)制即使是在一切運(yùn)行正常的情況下,也會(huì)降低驗(yàn)證表單的安全性。這樣,該cookie就不能基于任何提供永久登錄的信息來(lái)產(chǎn)生,如用戶密碼。

為避免使用用戶的密碼,可以建立一個(gè)只供一次驗(yàn)證有效的標(biāo)識(shí):

CODE:

<?php

$token = md5(uniqid(rand(), TRUE));

?>

你可以把它保存在用戶的會(huì)話中以把它與特定的用戶相關(guān)聯(lián),但這并不能幫助你在多個(gè)會(huì)話間保持登錄,這是一個(gè)大前提。因此,你必須使用一個(gè)不同的方法把這個(gè)標(biāo)識(shí)與特定的用戶關(guān)聯(lián)起來(lái)。

由于用戶名與密碼相比要不敏感一些,你可以把它存在cookie中,這可以幫助驗(yàn)證程序確認(rèn)提供的是哪個(gè)用戶的標(biāo)識(shí)。可是,一個(gè)更好的方法是使用一個(gè)不易猜測(cè)與發(fā)現(xiàn)的第二身份標(biāo)識(shí)。考慮在保存用戶名和密碼的數(shù)據(jù)表中加入三個(gè)字段:第二身份標(biāo)識(shí)(identifier),永久登錄標(biāo)識(shí)(token),以及一個(gè)永久登錄超時(shí)時(shí)間(timeout)。

mysql> DESCRIBE users;

+------------+------------------+------+-----+---------+-------+

| Field | Type | Null | Key | Default | Extra |

+------------+------------------+------+-----+---------+-------+

| username | varchar(25) | | PRI | | |

| password | varchar(32) | YES | | NULL | |

| identifier | varchar(32) | YES | MUL | NULL | |

| token | varchar(32) | YES | | NULL | |

| timeout | int(10) unsigned | YES | | NULL | |

+------------+------------------+------+-----+---------+-------+

通過(guò)產(chǎn)生并保存一個(gè)第二身份標(biāo)識(shí)與永久登錄標(biāo)識(shí),你就可以建立一個(gè)不包含任何用戶驗(yàn)證信息的cookie。

CODE:

<?php

$salt = ’SHIFLETT’;

$identifier = md5($salt . md5($username . $salt));

$token = md5(uniqid(rand(), TRUE));

$timeout = time() + 60 * 60 * 24 * 7;

setcookie(’auth’, '$identifier:$token', $timeout);

?>

當(dāng)一個(gè)用戶使用了一個(gè)永久登錄cookie的情況下,你可以通過(guò)是否符合幾個(gè)標(biāo)準(zhǔn)來(lái)檢查:

CODE:

<?php

/* mysql_connect() */

/* mysql_select_db() */

$clean = array();

$mysql = array();

$now = time();

$salt = ’SHIFLETT’;

list($identifier, $token) = explode(’:’, $_COOKIE[’auth’]);

if (ctype_alnum($identifier) && ctype_alnum($token))

{

$clean[’identifier’] = $identifier;

$clean[’token’] = $token;

}

else

{

/* ... */

}

$mysql[’identifier’] = mysql_real_escape_string($clean[’identifier’]);

$sql = 'SELECT username, token, timeout

FROM users

WHERE identifier = ’{$mysql[’identifier’]}’';

if ($result = mysql_query($sql))

{

if (mysql_num_rows($result))

{

$record = mysql_fetch_assoc($result);

if ($clean[’token’] != $record[’token’])

{

/* Failed Login (wrong token) */

}

elseif ($now > $record[’timeout’])

{

/* Failed Login (timeout) */

}

elseif ($clean[’identifier’] !=

md5($salt . md5($record[’username’] . $salt)))

{

/* Failed Login (invalid identifier) */

}

else

{

/* Successful Login */

}

}

else

{

/* Failed Login (invalid identifier) */

}

}

else

{

/* Error */

}

?>

你應(yīng)該堅(jiān)持從三個(gè)方面來(lái)限制永久登錄cookie的使用。

lCookie需在一周內(nèi)(或更少)過(guò)期

lCookie最好只能用于一次驗(yàn)證(在一次成功驗(yàn)證后即刪除或重新生成)

l在服務(wù)器端限定cookie在一周(或更少)時(shí)間內(nèi)過(guò)期

如果你想要用戶無(wú)限制的被記住,那只要是該用戶的訪問(wèn)你的應(yīng)用的頻度比過(guò)期時(shí)間更大的話,簡(jiǎn)單地在每次驗(yàn)證后重新生成標(biāo)識(shí)并設(shè)定一個(gè)新的cookie即可。

另一個(gè)有用的原則是在用戶執(zhí)行敏感操作前需要用戶提供密碼。你只能讓永久登錄用戶訪問(wèn)你的應(yīng)用中不是特別敏感的功能。在執(zhí)行一些敏感操作前讓用戶手工進(jìn)行驗(yàn)證是不可替代的步驟。

最后,你需要確認(rèn)登出系統(tǒng)的用戶是確實(shí)登出了,這包括刪除永久登錄cookie:

CODE:

<?php

setcookie(’auth’, ’DELETED!’, time());

?>

上例中,cookie被無(wú)用的值填充并設(shè)為立即過(guò)期。這樣,即使是由于一個(gè)用戶的時(shí)鐘不準(zhǔn)而導(dǎo)致cookie保持有效的話,也能保證他有效地退出。

標(biāo)簽: PHP
相關(guān)文章:
主站蜘蛛池模板: 欧美精品片 | 国产高清精品一区 | 国产蜜臀97一区二区三区 | 国产欧美日韩综合精品一 | 在线视频 欧美日韩 | 亚洲一区二区三区免费观看 | 羞羞的视频在线 | 国产中文一区二区三区 | 精品一区二区三区四区 | 欧美精品一区二区三区在线播放 | 亚洲国产免费 | 天天干天天操天天射 | 日韩av啪啪网站大全免费观看 | 日韩精品免费 | 在线亚洲人成电影网站色www | 午夜精品久久久久久久星辰影院 | 久久久91精品国产一区二区三区 | 日韩中文在线 | 亚洲成人久久久 | 国产精品综合一区二区 | av大片| 中文字幕1区| 狠狠躁天天躁夜夜躁婷婷老牛影视 | 国色天香综合网 | 亚洲高清成人在线 | 欧美伊人影院 | 97精品超碰一区二区三区 | 九九久久精品视频 | 精品日韩电影 | 日韩精品一区二区三区在线播放 | 亚洲精品无人区 | 国产成人高清在线观看 | 亚洲一二三区不卡 | 午夜一区二区三区在线观看 | 欧美久久不卡 | 91久久| 天天操一操 | 亚洲综合国产 | 噜噜噜色网 | 天天躁日日躁狠狠躁2018小说 | 人人爽日日躁夜夜躁尤物 |