PHP永久登入、記住我功能實現方法和安全做法_PHP教程

PHP永久登入、記住我功能實現方法和安全做法

　　PHP永久登入、記住我功能實現方法和安全做法

這篇文章主要介紹了PHP永久登入、記住我功能實現方法和安全做法,本文著重講解用資料庫實現更安全的永久登入、記住我功能,需要的朋友可以參考下

　　永久登入指的是在瀏覽器會話間進行持續驗證的機制。換句話說，今天已登入的使用者明天依然是處於登入狀態，即使在多次訪問之間的使用者會話到期的情況下也是這樣。永久登入的存在降低了你的驗證機制的安全性，但它增加了可用性。不是在使用者每次訪問時麻煩使用者進行身分識別驗證，而是提供了記住登入的選擇。

　　據我觀察，最常見的有缺陷的永久登入方案是將使用者名稱和密碼儲存在一個cookie中。這樣做的誘惑是可以理解的——不需要提示使用者輸入使用者名稱和密碼，你只要簡單地從cookie中讀取它們即可。驗證過程的其它部分與正常登入完全相同，因此該方案是一個簡單的方案。

　　不過如果你確實是把使用者名稱和密碼存在cookie中的話，請立刻關閉該功能，同時閱讀本節的餘下內容以找到實現更安全的方案的一些思路。你將來還需要要求所有使用該cookie的使用者修改密碼，因為他們的驗證資訊已經暴露了。

　　永久登入需要一個永久登入cookie，通常叫做驗證cookie，這是由於cookie是被用來在多個會話間提供穩定資料的唯一標準機制。如果該cookie提供永久訪問，它就會造成對你的應用的安全的嚴重風險，所以你需要確定你儲存在cookie中的資料只能在有限的時間段內用於身分識別驗證。

　　第一步是設計一個方法來減輕被捕獲的永久登入cookie造成的風險。儘管cookie被捕獲是你需要避免的，但有一個深度防範流程是最好的，特別是因為這種機制即使是在一切運行正常的情況下，也會降低驗證表單的安全性。這樣，該cookie就不能基於任何提供永久登入的資訊來產生，如使用者密碼。

　　為避免使用使用者的密碼，可以建立一個只供一次驗證有效標識：

　　代碼如下:

　　

　　$token = md5(uniqid(rand(), TRUE));

　　?>

　　你可以把它儲存在使用者的會話中以把它與特定的使用者相關聯，但這並不能協助你在多個會話間保持登入，這是一個大前提。因此，你必須使用一個不同的方法把這個標識與特定的使用者關聯起來。

　　由於使用者名稱與密碼相比要不敏感一些，你可以把它存在cookie中，這可以協助驗證程式確認提供的是哪個使用者的標識。可是，一個更好的方法是使用一個不易猜測與發現的第二身份標識。考慮在儲存使用者名稱和密碼的資料表中加入三個欄位：第二身份標識(identifier)，永久登入標識(token)，以及一個永久登入逾時時間(timeout)。

　　 代碼如下:

　　mysql> DESCRIBE users;

　　+------------+------------------+------+-----+---------+-------+

　　| Field | Type | Null | Key | Default | Extra |

　　+------------+------------------+------+-----+---------+-------+

　　| username | varchar(25) | | PRI | | |

　　| password | varchar(32) | YES | | NULL | |

　　| identifier | varchar(32) | YES | MUL | NULL | |

　　| token | varchar(32) | YES | | NULL | |

　　| timeout | int(10) unsigned | YES | | NULL | |

　　+------------+------------------+------+-----+---------+-------+

　　通過產生並儲存一個第二身份標識與永久登入標識，你就可以建立一個不包含任何使用者驗證資訊的cookie。

　　代碼如下:

　　

　　$salt = 'SHIFLETT';

　　$identifier = md5($salt . md5($username . $salt));

　　$token = md5(uniqid(rand(), TRUE));

　　$timeout = time() + 60 * 60 * 24 * 7;

　　setcookie('auth', "$identifier:$token", $timeout);

　　?>

　　當一個使用者使用了一個永久登入cookie的情況下，你可以通過是否符合幾個標準來檢查：

　　 代碼如下:

　　

　　/* mysql_connect() */

　　/* mysql_select_db() */

　　$clean = array();

　　$mysql = array();

　　$now = time();

　　$salt = 'SHIFLETT';

　　list($identifier, $token) = explode(':', $_COOKIE['auth']);

　　if (ctype_alnum($identifier) && ctype_alnum($token))

　　{

　　$clean['identifier'] = $identifier;

　　$clean['token'] = $token;

　　}

　　else

　　{

　　/* ... */

　　}

　　$mysql['identifier'] = mysql_real_escape_string($clean['identifier']);

　　$sql = "SELECT username, token, timeout

　　FROM users

　　WHERE identifier = '{$mysql['identifier']}'";

　　if ($result = mysql_query($sql))

　　{

　　if (mysql_num_rows($result))

　　{

　　$record = mysql_fetch_assoc($result);

　　if ($clean['token'] != $record['token'])

　　{

　　/* Failed Login (wrong token) */

　　}

　　elseif ($now > $record['timeout'])

　　{

　　/* Failed Login (timeout) */

　　}

　　elseif ($clean['identifier'] !=

　　md5($salt . md5($record['username'] . $salt)))

　　{

　　/* Failed Login (invalid identifier) */

　　}

　　else

　　{

　　/* Successful Login */

　　}

　　}

　　else

　　{

　　/* Failed Login (invalid identifier) */

　　}

　　}

　　else

　　{

　　/* Error */

　　}

　　?>

　　你應該堅持從三個方面來限制永久登入cookie的使用。

　　1.Cookie需在一周內(或更少)到期

　　2.Cookie最好只能用於一次驗證(在一次成功驗證後即刪除或重建)

　　3.在伺服器端限定cookie在一周(或更少)時間內到期

　　如果你想要使用者無限制的被記住，那隻要是該使用者的訪問你的應用的頻度比到期時間更大的話，簡單地在每次驗證後重建標識並設定一個新的cookie即可。

　　另一個有用的原則是在使用者執行敏感操作前需要使用者提供密碼。你只能讓永久登入使用者訪問你的應用中不是特別敏感的功能。在執行一些敏感操作前讓使用者手工進行驗證是不可替代的步驟。

　　最後，你需要確認登出系統的使用者是確實登出了，這包括刪除永久登入cookie：

　　複製代碼 代碼如下:

　　

　　setcookie('auth', 'DELETED!', time());

　　?>

　　上例中，cookie被無用的值填充並設為立即到期。這樣，即使是由於一個使用者的時鐘不準而導致cookie保持有效話，也能保證他有效地退出。

http://www.bkjia.com/PHPjc/990992.htmlwww.bkjia.comtruehttp://www.bkjia.com/PHPjc/990992.htmlTechArticlePHP永久登入、記住我功能實現方法和安全做法 PHP永久登入、記住我功能實現方法和安全做法 這篇文章主要介紹了PHP永久登入、記住我功能...

