PHP+MySQL應用中使用XOR運算密碼編譯演算法

本文將介紹一個簡單易用的加密/解密演算法:使用異或(XOR)運算。本演算法原理簡單，旨在使讀者對資訊的加密/解密有一個更加直觀的印象。

XOR演算法原理

從加密的主要方法看，換位法過於簡單，特別是對於資料量少的情況很容易由密文猜出明文，而替換法不失為一種行之有效簡易演算法。

從各種替換法運算的特點看，異或運算最適合用於簡易加解密運算，這種方法的原理是:當一個數A和另一個數B進行異或運算會產生另一個數C，如果再將C和B進行異或運算則C又會還原為A。

相對於其他的簡易密碼編譯演算法，XOR演算法的優點如下。

(1)演算法簡單，對於進階語言很容易能實現。

(2)速度快，可以在任何時候、任何地方使用。

(3)對任何字元都是有效，不像有些簡易密碼編譯演算法，只對西文字元有效，對中文加密後再解密無法還原為原來的字元。

XOR演算法實現

上一部分介紹了如何使用XOR運算進行加密/解密的原理，本節將使用其加密使用者的登入資訊。根據上一小節介紹的XOR密碼編譯演算法的原理，不難寫出以下的加密解密函數。首先列出密碼編譯演算法。

1 ＜!--encrypy_xor:簡單使用XOR運算的加密函數-----------------------＞
2 ＜?php
3 //加密函數
4 function myEncrypt($string, $key)
5 {
6 for($i=0; $i＜STRLEN($STRING); p $i++)<>
7 {
8 for($j=0; $j＜STRLEN($KEY); p $j++)<>
9 {
10 $string[$i] = $string[$i]^$key[$j];
11 }
12 }
13 return $string;
14 }

第4行定義了加密函數myEncrypt()，輸入參數$string為明文，而$key為密鑰;輸出為使用$key作為密鑰並使用XOR密碼編譯演算法產生的密文。

第6～12行的外層for迴圈對明文字串的每一個字元進行迴圈，而內層的for迴圈(第8～11行)對明文的每一字元迴圈與密鑰的每一位做異或運算。其原理已經在上一小節中介紹，不再重述。

同樣，與加密函數類似，可以寫出下面的解密函數。

1 //解密函數
2 function myDecrypt($string, $key)
3 {
4 for($i=0; $i＜STRLEN($STRING); p $i++)<>
5 {
6 for($j=0; $j＜STRLEN($KEY); p $j++)<>
7 {
8 $string[$i] = $key[$j]^$string[$i];
9 }
10 }
11 return $string;
12 }
13 ?＞

第4行定義瞭解密函數myDecrypt ()，輸入參數$string為密文，而$key為密鑰;輸出為使用$key作為密鑰並使用XOR解密演算法產生的明文。

下面，通過一個應用樣本來進一步說明加密函數的功能。

1 //樣本
2 $my_passWord="chair";
3 echo "my_password = $my_password";
4 $my_key="1234567890";
5 $my_password_en=myEncrypt($my_password,$my_key);
6 echo "my_password_en = $my_password_en";
7 $my_password_de=myDecrypt($my_password_en,$my_key);
8 echo "my_password_de = $my_password_de";

第3行首先定義了一個明文$my_password，然後在第4行定義密鑰$my_key。

第5、6行分別調用加密函數產生密文並輸出;反過來，又在第7、8行將密文解密。

上面樣本的運行結果如下。

my_password = chair

my_password_en = RYPXC

my_password_de = chair

用XOR演算法實現身分識別驗證

上兩部分分別介紹了使用XOR運算進行資訊加密/解密的原理和實現，下面，將使用這一方法來對使用者的登入密碼進行加密。本例中，為了保護使用者的密碼，系統想要達到的目的如下。

·在使用者註冊時，使用者需要添寫使用者密碼表單。

·除使用者本人之外，其他任何人都無法擷取其密碼資訊，包括系統設計者和資料庫管理員。

·系統能根據使用者輸入的密碼驗證使用者的合法性。

為了達到以上目的，使用XOR演算法時可以選擇使用者名稱作為明文，而密鑰是使用者自訂的密碼，然後將加密後的使用者名稱儲存在資料庫中。

另外，在使用者登入的時候，有以下兩種方式來驗證合法使用者。

(1)根據其提交的使用者名稱(明文)和密碼(密鑰)資訊重新加密，並使用加密後的資訊與資料庫中儲存的密碼資訊進行比較，如果相等，則使用者合法，否則，為非法使用者。

(2)根據資料庫中儲存的密碼資訊(明文)和使用者輸入的密碼(密鑰)資訊進行解密，並把加密後的資訊與使用者提交的使用者名稱進行比較，如果相等，則使用者合法，否則，為非法使用者。

兩種方式都可以實現第3個目的，本例，將採用第2種方式。本例的實現代碼可在18.4.1節“使用者登入”和18.4.2節“檢查使用者”的實現基礎之上實現，其中“使用者登入”頁面無需變化，“檢查使用者”的實現參考如下。

1 ＜?php
2 session_start(); //裝載Session庫，一定要放在首行
3 $user_name=$_POST["user_name"];
4 session_register("user_name"); //註冊$user_name變數,注意沒有$符號
5
6 require_once("sys_conf.inc"); //系統設定檔，包含資料庫配置資訊
7 require_once("encrypy_xor.php"); //包含xor加密函數檔案
8
9 //串連資料庫
10 $link_id=MySQL_connect($DBHOST,$DBUSER,$DBPWD);
11 mysql_select_db($DBNAME); //選擇資料庫my_chat
12
13 //查詢是否存在登入使用者資訊
14 $str="select name,password from user where name ='$user_name'";
15 $result=mysql_query($str,$link_id); //執行查詢
16 @$rows=mysql_num_rows($result); //取得查詢結果的記錄筆數
17 $user_name=$_SESSION["user_name"];
18 $password=$_POST["password"];
19 $password_en=myEncrypt($user_name,$password); //加密使用者資訊
20
21 //對於老使用者
22 if($rows!=0)
23 {
24 list($name,$pwd)=mysql_fetch_row($result);
25 $password_de=myDecrypt($pwd,$password); //解密使用者資訊
26
27 //如果密碼輸入正確
28 if($user_name==$password_de)
29 {
30 $str="update user set is_online =1 where name ='$user_name' and password='$password_en'";
31 $result=mysql_query($str, $link_id); //執行查詢
32 require("main.php"); //轉到聊天頁面
33 }
34 //密碼輸入錯誤
35 else
36 {
37 require("relogin.php");
38 }
39 }
40 //對於新使用者，將其資訊寫入資料庫
41 else
42 {
43 $str="insert into user (name,password,is_online) values('$user_name', '$password_en',1)";
44 $result=mysql_query($str, $link_id); //執行查詢
45 require("main.php"); //轉到聊天頁面
46 }
47 //關閉資料庫
48 mysql_close($link_id);
49 ?＞

第7行引入了加密函數檔案encrypy_xor.php，包括上一小節介紹的兩個函數。

第19行，使用使用者提交的使用者名稱和密碼得到加密後的密碼值，並且對於新使用者，在第44行將這個加密後的值儲存在資料庫中。

另外，對於老使用者，在第24擷取資料庫中使用者名稱和加密後的密碼資訊，並在25行利用這兩個值進行解密，然後在第28行通過比較解密後的值與使用者提交的使用者名稱資訊來檢查使用者的合法性。

自動產生密鑰

上一部分介紹了如何使用XOR密碼編譯演算法進行對使用者資訊的加密，其中，使用者所輸入的口令資訊實際上成為了密碼編譯演算法中的密鑰，而使用者名稱作為明文使用，雖然這能很好地完成功能，但是在邏輯上，這種方法似乎有些不合理。

本文將介紹一種自動產生密鑰的技術，可以使用自動產生的金鑰組使用者提交的密碼明文加密，使邏輯更加合理一些。

本例，假設產生的密鑰為512位。代碼如下。

1 ＜!--keygen.php:自動產生密鑰------------------------------------＞
2 ＜?php
3
4 //自動產生長度為$len的密鑰
5 function generate_key($len)
6 {
7 $lowerbound = 35 ;
8 $upperbound = 96 ;
9 $strMyKey = "";
10
11 for($i=1;$i<=$len;$i++)
12 {
13 $rnd=rand(0,100); //產生隨機數
14 $k = (($upperbound - $lowerbound) + 1) * $rnd + $lowerbound;
15 $strMyKey=$strMyKey.$k;
16 }
17 return $strMyKey;
18 }
19
20 //將密鑰寫入檔案$file_name
21 function write_key($key,$file_name)
22 {
23 $filename="C:\key.txt";
24 $key=generate_key($key,512);
25
26 //使用添加模式開啟$filename，檔案指標將會在檔案的末尾
27 if(!$handle=fopen($filename,'w'))
28 {
29 PRint"不能開啟檔案$filename";
30 exit;
31 }
32
33 //將$key寫入到我們開啟的檔案中。
34 if(!fwrite($handle,$key))
35 {
36 print"不能寫入到檔案$filename";
37 exit;
38 }
39 fclose($handle);
40 }
41
42 //讀取密鑰檔案中的密鑰
43 function get_key($file_name)
44 {
45 //開啟檔案
46 $fp = fopen ($file_name, "r");
47 $result="";
48 //逐行讀取
49 while (!feof($fp))
50 {
51 $buffer = fgets($fp, 4096);
52 $result=$result.$buffer;
53 }
54 return $result;
55 }
56
57 ///*
58 $KeyLocation = "C:\key.txt"; //儲存密鑰的檔案
59 $key="123456";
60 write_key($key,$KeyLocation);
61 echo get_key($KeyLocation);
62 //*/
63 ?＞

程式碼封裝括3個函數。

·generate_key($len):自動產生長度為$len的密鑰

·write_key($key,$file_name):將密鑰寫入檔案$file_name

·get_key($file_name):讀取密鑰檔案$file_name中的密鑰值

在使用時，當使用者第一次登入系統時，自動為其產生密鑰值，對於這個密鑰值，可以有兩種方式來處理。

(1)將其存入資料庫的某個欄位中，這種方法的缺點是密鑰在資料庫中的安全性無法得到保證;

(2)將這個密鑰儲存在使用者本地的檔案中，這樣就可以避免密鑰被別人擷取，但這種方式的缺點是，當使用者使用其他機器訪問系統時，就無法登入。

本例中，將使用第2種方式。

具體地，上面代碼第11～18行通過產生隨機數的方式來不斷產生密鑰，並通過一個計算來增強其複雜性。其中的lowerbound和upperbound的數值其實就是你想使用來加密的ASCII字元範圍。下面是產生的一個密鑰檔案樣本。

208123915925183361116049369344372701567721435181102718332639307390344373445407

524316475863232913993383189547474747394154915312639841226741894189965623523913

011164730113445201935692839710274127251577929493941487145611337531549110895367

593586318332391170941272701152344371709270125776235313540032267139933835677407

617384135696111239130732949469623520815987524358635491542913374933524334454251

400327015367133759324537171709152357391089524342514685239122673135531363151191

833412771743139654…

最後，需要把密鑰儲存在伺服器上一個安全的地方，然後就可以利用其和諸如XOR這樣的密碼編譯演算法來對使用者資訊進行加密/解密了。如何在上一部分介紹的XOR中使用這個密鑰非常簡單，不再詳述。共2頁。 9 7 1 2

