PHP验证登录状态和安全性

固定的私钥来做salt其实不好,一旦私钥泄漏之后就很麻烦,而且最痛苦的其实是你不知道你到底有没有泄漏

用户的密码字符串作为salt是更好的办法

签名字符串:

$sign = md5('$user_id+$user+_password[+浏览器UA[+IP地址[...]]]');

里面爱加什么你可以自己发挥

存储到cookie里面的字符串为

$token = $user_id.','.$sign;

然后你需要对用户记录做一个服务器端的缓存,缓存通过用户编号查询,里面至少要包含用户的密码

每次用户请求时,都会从缓存里面去拿他的密码来重新计算数字签名做比对

这样的好处有:

  1. 不存在私钥泄漏的问题,即使出问题也不会影响所有用户
  2. slat字符串泄漏就等同于用户的密码泄漏,逻辑上是严密的
  3. 即使有人持有$token字符串,只要用户一修改密码,老的$token就马上失效了

在此基础上还可以有其它的发挥,比如用户记录设计专门的一个字段:salt,每次用户登录成功时就生成一个随机字符串更新到salt内,数字签名计算用

// 记得把$user_salt也放到缓存里
$sign = md5('$user_id+$user_password+$user_salt+...');

这样一来,每次用户重新登录之后,之前的$token一定会失效,不但安全性更高,而且还实现了每次只允许一个人登录使用

最后,记得在用户修改密码之后更新你的缓存

PS:

我自己的系统除了使用用户密码来计算数字签名之外,还使用了浏览器UA加固定私钥的方式对$token做了一次对称加密才放到cookie内,算是又多一层保护

======================================================================================

目前我这么干:

一个数组:

$cookie = array();
$cookie['username'] = '';
$cookie['nickname'] = '';
$cookie['email'] = '';
$cookie['userid'] = '';
$cookie['security_token'] = '';
$cookie = serialize($cookie);

$seCookie = AES::encode(SYSTEM_AUTH_KEY,$cookie);
Cookie::set('__token',$seCookie);
Cookie::set('__security_token',$security_token);
/**
 * cookie中还有会话id可以和security_token进行绑定验证
 */

其他页面的验证就看着办好了。此外还可绑定IP、UserAgent等参数。security_token


  • 0
    点赞
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值