Auth verwendet Salt und Passwort für Beispiele zur Benutzerauthentifizierung

Dieser Artikel führt Sie hauptsächlich in die relevanten Informationen zur Verwendung von Salt und Passwort zur Authentifizierung von Benutzern durch. Der Artikel stellt es im Detail anhand des Beispielcodes vor. Ich hoffe, es hat einen gewissen Referenzwert kann jedem helfen.

Laravals eigenes Benutzerauthentifizierungssystem Auth ist sehr leistungsstark und einfach zu verwenden. Im Benutzerauthentifizierungssystem von Laravel werden jedoch Passwortverschlüsselung und Authentifizierungsalgorithmen in Modulen wie Benutzerregistrierung, Anmeldung und Passwortabruf verwendet. und viele frühere Projekte verwenden die Methode zum Speichern von Salt + Passwort-verschlüsselten Zeichenfolgen, um Benutzerkennwörter in der Benutzertabelle aufzuzeichnen. Dies hat zu großem Widerstand gegen die Verwendung des Laravel-Frameworks zur Rekonstruktion früherer Projekte geführt. Ich habe jedoch kürzlich die Änderung von Laravel Auth durch Suche abgeschlossen Für Informationen im Internet, beim Lesen von Community-Foren und beim Lesen des Quellcodes hoffe ich, dass es für andere hilfreich ist, es hier zu teilen. Bevor ich anfange, muss ich erklären, dass bei Verwendung des Laravel-Frameworks in einem neuen Projekt keine Änderungen an Auth vorgenommen werden müssen. Der Standard-Verschlüsselungsalgorithmus von bcrypt ist ein sichererer und effizienterer Verschlüsselungsalgorithmus als Salt + Passwort.

Benutzerregistrierung ändern

Aktivieren Sie zunächst die Verifizierung in Laravel mit dem Befehl artisan

php artisan make:auth

Nachdem Sie den Befehl ausgeführt haben, fügen Sie ihn der Routendatei (Speicherort) hinzu : app /Http/routes.php) wird einen weiteren statischen Methodenaufruf haben

Route::auth();

Diese Route ist eine Fassade von Laravel (befindet sich in IlluminateSupportFacadesRoute), und die aufgerufene Authentifizierungsmethode ist in der IlluminateRoutingRouter-Klasse definiert. Sie können die Authentifizierungsmethode wie folgt sehen: Hier sind einige Authentifizierungs-bezogene Routing-Regeln definiert

/**
 * Register the typical authentication routes for an application.
 *
 * @return void
 */
public function auth()
{
 // Authentication Routes...
 $this->get('login', 'Auth\AuthController@showLoginForm');
 $this->post('login', 'Auth\AuthController@login');
 $this->get('logout', 'Auth\AuthController@logout');

 // Registration Routes...
 $this->get('register', 'Auth\AuthController@showRegistrationForm');
 $this->post('register', 'Auth\AuthController@register');

 // Password Reset Routes...
 $this->get('password/reset/{token?}', 'Auth\PasswordController@showResetForm');
 $this->post('password/email', 'Auth\PasswordController@sendResetLinkEmail');
 $this->post('password/reset', 'Auth\PasswordController@reset');
}

Anhand der Routing-Regeln können Sie erkennen, dass die bei der Registrierung angeforderte Controller-Methode die Registermethode von AuthController ist ist in den Merkmalen von IlluminateFoundationAuthRegistersUsers definiert. Dieses Merkmal wird in der Definition eingeführt. In der Registermethode werden zunächst die Benutzereingabedaten in der Anfrage überprüft Um Ihre eigene Überprüfung jedes Eingabefelds in der Validierungsmethode von AuthController zu definieren, können Sie Folgendes tun:

/**
 * Handle a registration request for the application.
 *
 * @param \Illuminate\Http\Request $request
 * @return \Illuminate\Http\Response
 */
public function register(Request $request)
{
 $validator = $this->validator($request->all());

 if ($validator->fails()) {
 $this->throwValidationException(
  $request, $validator
 );
 }

 Auth::guard($this->getGuard())->login($this->create($request->all()));

 return redirect($this->redirectPath());
}

Nachdem die Überprüfung bestanden wurde, verwendet Laravel die Erstellungsmethode von AuthController Erstellen Sie einen neuen Benutzer und verwenden Sie dann die Daten des neuen Benutzers, um sich bei Auth::guard($this- >getGuard())->login($this->create($request->all())) anzumelden. ;

protected function validator(array $data)
{
 return Validator::make($data, [
 'name' => 'required|max:255',
 'email' => 'required|email|max:255|unique:user',
 'password' => 'required|size:40|confirmed',
 ]);
}

Daher müssen wir die Verschlüsselungsmethode für die Generierung von Benutzerkennwörtern nur bei der Benutzerregistrierung anpassen. Sie müssen die Erstellungsmethode von AuthController ändern.

Zum Beispiel:

Benutzeranmeldung ändern

/**
 * Create a new user instance after a valid registration.
 *
 * @param array $data
 * @return User
 */
protected function create(array $data)
{
 $salt = Str::random(6);
 return User::create([
 'nickname' => $data['name'],
 'email' => $data['email'],
 'password' => sha1($salt . $data['password']),
 'register_time' => time(),
 'register_ip' => ip2long(request()->ip()),
 'salt' => $salt
 ]);
}

Bevor wir die Anmeldung ändern, müssen wir uns zunächst den spezifischen Controller der Anmeldeanforderung ansehen Durch Routing-Regeln und -Methoden können Sie in der oben genannten Authentifizierungsmethodendefinition sehen, dass der Vorgang der Überprüfung der Anmeldung in der Anmeldemethode der AppHttpControllersAuthAuthController-Klasse erfolgt. Öffnen Sie AuthController und stellen Sie fest, dass Auth-bezogene Methoden über Merkmale in die Klasse eingeführt werden. Während der Kompilierung kopiert PHP den Code in den Merkmalen Anwendbare Szenarien und Verwendungsmöglichkeiten der eingeführten Funktionen werden hier nicht detailliert beschrieben. Die AuthController@login-Methode ist also tatsächlich in den Merkmalen
IlluminateFoundationAuthAuthenticatesUsers

definiert. Der Hauptvorgang der Anmeldeüberprüfung ist Auth::guard($this->getGuard())-> try($credentials, $request->has('remember')); Diese Methode wird aufgerufen und Auth::guard($this->getGuard()) erhält IlluminateAuthSessionGuard (insbesondere, wie man es erhält). Sehen Sie sich die an Quellcode in der Auth-Fassade (IlluminateAuthAuthManager)

 $this->get('login', 'Auth\AuthController@showLoginForm');
 $this->post('login', 'Auth\AuthController@login');
 $this->get('logout', 'Auth\AuthController@logout');

Sehen Sie sich an, wie die Versuchsmethode in SessionGuard implementiert ist:

/**
 * Handle a login request to the application.
 *
 * @param \Illuminate\Http\Request $request
 * @return \Illuminate\Http\Response
 */
public function login(Request $request)
{
 $this->validateLogin($request);
 $throttles = $this->isUsingThrottlesLoginsTrait();

 if ($throttles && $lockedOut = $this->hasTooManyLoginAttempts($request)) {
 $this->fireLockoutEvent($request);

 return $this->sendLockoutResponse($request);
 }

 $credentials = $this->getCredentials($request);

 if (Auth::guard($this->getGuard())->attempt($credentials, $request->has('remember'))) {
 return $this->handleUserWasAuthenticated($request, $throttles);
 }

 if ($throttles && ! $lockedOut) {
 $this->incrementLoginAttempts($request);
 }

 return $this->sendFailedLoginResponse($request);
}

retrieveByCredentials verwendet die übergebenen Felder, um Benutzerdaten aus der Datenbank „validateCredentials“ abzurufen Der eigentliche Prozess zur Überprüfung, ob das Passwort korrekt ist.

Hier muss beachtet werden, dass $this->provider ein Anbieter ist, der die IlluminateContractsAuthUserProvider-Klasse implementiert. Wir sehen, dass es im Verzeichnis IlluminateAuth zwei UserProvider-Implementierungen gibt, nämlich DatabaseUserProvider und EloquentUserProvider, aber wir überprüfen Welches wird zur Überprüfung des Passworts verwendet? Schauen Sie sich die Authentifizierungskonfigurationsdatei an.

public function attempt(array $credentials = [], $remember = false, $login = true)
{
 $this->fireAttemptEvent($credentials, $remember, $login);

 $this->lastAttempted = $user = $this->provider->retrieveByCredentials($credentials);

 if ($this->hasValidCredentials($user, $credentials)) {
 if ($login) {
  $this->login($user, $remember);
 }

 return true;
 }

 if ($login) {
 $this->fireFailedEvent($user, $credentials);
 }

 return false;
}

/**
 * Determine if the user matches the credentials.
 *
 * @param mixed $user
 * @param array $credentials
 * @return bool
 */

protected function hasValidCredentials($user, $credentials)
{
 return ! is_null($user) && $this->provider->validateCredentials($user, $credentials);
}

Der Treiber => eloquent ist hier konfiguriert, sodass er über RetrieverByCredentials von EloquentUserProvider überprüft wird wird bei der Instanziierung injiziert. (Einzelheiten zum Lesen der Authentifizierungskonfigurationsdatei, zur Instanziierung des entsprechenden Anbieters und zur Injektion in SessionGuard finden Sie im Quellcode der createSessionDriver-Methode in IlluminateAuthAuthManager.)

Als Nächstes Weiter Sehen Sie sich die Implementierung der Methoden „retrieByCredentials“ und „validateCredentials“ in EloquentUserProvider an:

'providers' => [
 'users' => [
 'driver' => 'eloquent',
 'model' => App\User::class, //这个是driver用的Model
 ],
],

Die beiden oben genannten Methoden „retrieByCredentials“ verwenden andere Felder als Passwörter, um Benutzerdatensätze aus der Datenbankbenutzertabelle abzurufen, z. B. die Verwendung von E-Mail zur Benutzerabfrage Datensätze und dann die Methode „validateCredentials“ Verwenden Sie einfach $this->haser->check, um das eingegebene Passwort mit dem gehashten Passwort zu vergleichen und zu überprüfen, ob das Passwort korrekt ist.

好了， 看到这里就很明显了， 我们需要改成自己的密码验证就是自己实现一下validateCredentials就可以了， 修改$this->hasher->check为我们自己的密码验证规则就可以了。

首先我们修改$user->getAuthPassword()把数据库中用户表的salt和password传递到validateCredentials中
修改App\User.php 添加如下代码

/**
 * The table associated to this model
 */
protected $table = 'user';／／用户表名不是laravel约定的这里要指定一下

/**
 * 禁用Laravel自动管理timestamp列
 */
public $timestamps = false;

/**
 * 覆盖Laravel中默认的getAuthPassword方法, 返回用户的password和salt字段
 * @return type
 */
public function getAuthPassword()
{
 return ['password' => $this->attributes['password'], 'salt' => $this->attributes['salt']];
}

然后我们在建立一个自己的UserProvider接口的实现，放到自定义的目录中：

新建app/Foundation/Auth/AdminEloquentUserProvider.php

namespace App\Foundation\Auth;

use Illuminate\Auth\EloquentUserProvider;
use Illuminate\Contracts\Auth\Authenticatable;
use Illuminate\Support\Str;

class AdminEloquentUserProvider extends EloquentUserProvider
{

 /**
  * Validate a user against the given credentials.
  *
  * @param \Illuminate\Contracts\Auth\Authenticatable $user
  * @param array $credentials
  */
 public function validateCredentials(Authenticatable $user, array $credentials) {
  $plain = $credentials['password'];
  $authPassword = $user->getAuthPassword();

  return sha1($authPassword['salt'] . $plain) == $authPassword['password'];
 }
}

最后我们修改auth配置文件让Laravel在做Auth验证时使用我们刚定义的Provider，
修改config/auth.php：

'providers' => [
 'users' => [
  'driver' => 'admin-eloquent',
  'model' => App\User::class,
 ]
]

修改app/Provider/AuthServiceProvider.php

public function boot(GateContract $gate)
{
 $this->registerPolicies($gate);

 \Auth::provider('admin-eloquent', function ($app, $config) {
  return New \App\Foundation\Auth\AdminEloquentUserProvider($app['hash'], $config['model']);
 });
}

Auth::provider方法是用来注册Provider构造器的，这个构造器是一个Closure，provider方法的具体代码实现在AuthManager文件里

public function provider($name, Closure $callback)
{
 $this->customProviderCreators[$name] = $callback;

 return $this;
}

闭包返回了AdminEloquentUserProvider对象供Laravel Auth使用，好了做完这些修改后Laravel的Auth在做用户登录验证的时候采用的就是自定义的salt + password的方式了。

修改重置密码

Laravel 的重置密码的工作流程是：

• 向需要重置密码的用户的邮箱发送一封带有重置密码链接的邮件，链接中会包含用户的email地址和token。

• 用户点击邮件中的链接在重置密码页面输入新的密码，Laravel通过验证email和token确认用户就是发起重置密码请求的用户后将新密码更新到用户在数据表的记录里。

第一步需要配置Laravel的email功能，此外还需要在数据库中创建一个新表password_resets来存储用户的email和对应的token

CREATE TABLE `password_resets` (
 `email` varchar(255) COLLATE utf8_unicode_ci NOT NULL,
 `token` varchar(255) COLLATE utf8_unicode_ci NOT NULL,
 `created_at` timestamp NOT NULL,
 KEY `password_resets_email_index` (`email`),
 KEY `password_resets_token_index` (`token`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_unicode_ci;

通过重置密码表单的提交地址可以看到，表单把新的密码用post提交给了/password/reset，我们先来看一下auth相关的路由，确定/password/reset对应的控制器方法。

 $this->post('password/reset', 'Auth\PasswordController@reset');

可以看到对应的控制器方法是\App\Http\Controllers\Auth\PasswordController类的reset方法，这个方法实际是定义在\Illuminate\Foundation\Auth\ResetsPasswords 这个traits里，PasswordController引入了这个traits

/**
 * Reset the given user's password.
 *
 * @param \Illuminate\Http\Request $request
 * @return \Illuminate\Http\Response
 */
public function reset(Request $request)
{
 $this->validate(
  $request,
  $this->getResetValidationRules(),
  $this->getResetValidationMessages(),
  $this->getResetValidationCustomAttributes()
 );

 $credentials = $this->getResetCredentials($request);

 $broker = $this->getBroker();

 $response = Password::broker($broker)->reset($credentials, function ($user, $password) {
  $this->resetPassword($user, $password);
 });

 switch ($response) {
  case Password::PASSWORD_RESET:
   return $this->getResetSuccessResponse($response);
  default:
   return $this->getResetFailureResponse($request, $response);
 }
}

方法开头先通过validator对输入进行验证,接下来在程序里传递把新密码和一个闭包对象传递给Password::broker($broker)->reset();方法，这个方法定义在\Illuminate\Auth\Passwords\PasswordBroker类里.

/**
 * Reset the password for the given token.
 *
 * @param array $credentials
 * @param \Closure $callback
 * @return mixed
 */
public function reset(array $credentials, Closure $callback)
{
 // If the responses from the validate method is not a user instance, we will
 // assume that it is a redirect and simply return it from this method and
 // the user is properly redirected having an error message on the post.
 $user = $this->validateReset($credentials);

 if (! $user instanceof CanResetPasswordContract) {
  return $user;
 }

 $pass = $credentials['password'];

 // Once we have called this callback, we will remove this token row from the
 // table and return the response from this callback so the user gets sent
 // to the destination given by the developers from the callback return.
 call_user_func($callback, $user, $pass);

 $this->tokens->delete($credentials['token']);

 return static::PASSWORD_RESET;
}

在PasswordBroker的reset方法里，程序会先对用户提交的数据做再一次的认证，然后把密码和用户实例传递给传递进来的闭包，在闭包调用里完成了将新密码更新到用户表的操作， 在闭包里程序调用了的PasswrodController类的resetPassword方法

function ($user, $password) {
 $this->resetPassword($user, $password);
});

PasswrodController类resetPassword方法的定义

protected function resetPassword($user, $password)
{
 $user->forceFill([
  'password' => bcrypt($password),
  'remember_token' => Str::random(60),
 ])->save();

 Auth::guard($this->getGuard())->login($user);
}

在这个方法里Laravel 用的是bcrypt 加密了密码， 那么要改成我们需要的salt + password的方式，我们在PasswordController类里重写resetPassword方法覆盖掉traits里的该方法就可以了。

/**
 * 覆盖ResetsPasswords traits里的resetPassword方法,改为用sha1(salt + password)的加密方式
 * Reset the given user's password.
 *
 * @param \Illuminate\Contracts\Auth\CanResetPassword $user
 * @param string $password
 * @return void
 */
protected function resetPassword($user, $password)
{
 $salt = Str::random(6);
 $user->forceFill([
  'password' => sha1($salt . $password),
  'salt' => $salt,
  'remember_token' => Str::random(60),
 ])->save();

 \Auth::guard($this->getGuard())->login($user);
}

结语

到这里对Laravel Auth的自定义就完成了，注册、登录和重置密码都改成了sha1(salt + password)的密码加密方式， 所有自定义代码都是通过定义Laravel相关类的子类和重写方法来完成没有修改Laravel的源码，这样既保持了良好的可扩展性也保证了项目能够自由迁移。

注：使用的Laravel版本为5.2

相关推荐：

Laravel5.5中利用Passport实现Auth认证的方法

详解Laravel框架中的Auth模块

自己写的适配tp5的Auth验证demo

Das obige ist der detaillierte Inhalt vonAuth verwendet Salt und Passwort für Beispiele zur Benutzerauthentifizierung. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!