day15 个人博客项目&登录验证&Cookie&Session&验证码安全

前言

#知识点：

1、后台验证-登录用户逻辑安全

2、后台验证-COOKIE&SESSION

3、后台验证-验证码&万能密码等

判断用户的身份：

由于后台本身有多个功能文件页面

1.在每个文件里面添加判断代码

2.创建一个文件专门用来判断，其他文件包含调用它

登录用户逻辑安全

1.发送登陆请求 账户 密码

2.接受账户密码

3.判断账户密码的准确性

正确 成功登陆 》》跳转到成功页面

错误 登陆失败》》 重新登陆

后台管理系统有多个文件页面，为了方便验证，一般会选用cookie或session验证身份

cookie：身份验证 存储到客户端浏览器内

cookie安全：cookie修改 伪造 盗取

session: 身份验证 存储到服务端服务器内

session安全： 会话劫持（session劫持）

COOKIE验证

通过setcookie启用cookie功能 ，随机定义一个变量赋值。

然后验证这个cookie是否为空，为空则判断不是管理员！

攻击者可以通过抓包工具，进行对cookie的修改，或者通过XSS攻击，来获取管理员的cookie，从而直接登陆后台页面。

SESSION验证

通过session_start();函数启用session功能。

然后赋值。

通过if 判断 user是否等于admin 。等于则就是管理员。

session相对于cookie来说，用户登陆后，服务器会建立一个连接。然后服务器将一个特有的会话编号sessionid发给客户端，客户端登陆的时候必须带上这个id。

Cookie和Session的区别与比较

1.Cookie放在浏览器上，Session放在服务器上

2.cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗,考虑到安全应当使用session。

3.session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能,考虑到减轻服务器性能方面，应当使用COOKIE。

4.单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。