집 >백엔드 개발 >PHP 튜토리얼 >인증은 사용자 인증 예시에 소금과 비밀번호를 사용합니다.

인증은 사용자 인증 예시에 소금과 비밀번호를 사용합니다.

小云云원래의: 2018-01-26 11:11:172329검색

이 글은 Laravel Auth를 수정하여 사용자를 인증하기 위해 솔트와 비밀번호를 사용하는 것에 대한 관련 정보를 주로 소개합니다. 샘플 코드를 통해 아주 자세하게 소개되어 있어 모든 분들의 학습이나 업무에 도움이 되기를 바랍니다. 모든 사람.

라라발 자체 사용자 인증 시스템 Auth는 매우 강력하고 사용하기 쉽습니다. 그러나 Laravel의 사용자 인증 시스템에서는 사용자 등록, 로그인, 비밀번호 검색 등의 모듈에서 사용되는 비밀번호 암호화 및 인증 알고리즘이 대부분 bcrypt를 사용합니다. 이전 프로젝트의 사용자 테이블은 사용자 비밀번호를 기록하기 위해 솔트 + 비밀번호 암호화 문자열을 저장하는 방법을 사용했습니다. 이로 인해 Laravel 프레임워크를 사용하여 이전 프로젝트를 재구성하는 데 큰 저항이 있었지만 최근에 Laravel Auth 수정을 완료했습니다. 온라인에서 정보를 찾고, 커뮤니티 포럼을 읽고, 소스 코드를 읽는 것이 여기에서 공유되어 다른 사람들에게 도움이 되기를 바랍니다. 시작하기 전에 Laravel 프레임워크를 새 프로젝트에서 사용하는 경우 Auth를 수정할 필요가 없다는 점을 설명해야 합니다. 기본 bcrypt 암호화 알고리즘은 salt + 비밀번호보다 더 안전하고 효율적인 암호화 알고리즘입니다.

사용자 등록 수정

먼저 artisan 명령을 사용하여 laravel에서 확인을 활성화합니다

php artisan make:auth

명령을 실행한 후 경로 파일(위치: app/Http/routes.php)에 추가 정적 메서드 호출이 있습니다

Route::auth();

이 경로는 Laravel의 Facade(IlluminateSupportFacadesRoute에 위치)입니다. 호출된 auth 메소드는 IlluminateRoutingRouter 클래스에 정의되어 있습니다. 아래에서 볼 수 있듯이 auth 메소드는 인증 관련 라우팅 규칙을 정의합니다

/**
 * Register the typical authentication routes for an application.
 *
 * @return void
 */
public function auth()
{
 // Authentication Routes...
 $this->get('login', 'Auth\AuthController@showLoginForm');
 $this->post('login', 'Auth\AuthController@login');
 $this->get('logout', 'Auth\AuthController@logout');

 // Registration Routes...
 $this->get('register', 'Auth\AuthController@showRegistrationForm');
 $this->post('register', 'Auth\AuthController@register');

 // Password Reset Routes...
 $this->get('password/reset/{token?}', 'Auth\PasswordController@showResetForm');
 $this->post('password/email', 'Auth\PasswordController@sendResetLinkEmail');
 $this->post('password/reset', 'Auth\PasswordController@reset');
}

등록을 볼 수 있습니다. 라우팅 규칙을 통한 요청 컨트롤러 메소드는 AuthController의 등록 메소드입니다. 이 메소드는 IlluminateFoundationAuthRegistersUsers 특성에 정의되어 있습니다. AuthController는 클래스 정의에 이 특성을 도입합니다.

/**
 * Handle a registration request for the application.
 *
 * @param \Illuminate\Http\Request $request
 * @return \Illuminate\Http\Response
 */
public function register(Request $request)
{
 $validator = $this->validator($request->all());

 if ($validator->fails()) {
 $this->throwValidationException(
  $request, $validator
 );
 }

 Auth::guard($this->getGuard())->login($this->create($request->all()));

 return redirect($this->redirectPath());
}

등록 메소드에서는 요청의 사용자 입력 데이터가 먼저 사용됩니다. AuthController

protected function validator(array $data)
{
 return Validator::make($data, [
 'name' => 'required|max:255',
 'email' => 'required|email|max:255|unique:user',
 'password' => 'required|size:40|confirmed',
 ]);
}

의 유효성 검사기 메서드에서 각 입력 필드에 대해 고유한 유효성 검사 규칙을 정의해야 합니다. 그런 다음 확인이 통과된 후 Laravel은 AuthController의 생성 메서드를 사용하여 새 사용자를 생성합니다. 그런 다음 새 사용자의 데이터를 가져옵니다. 로그인으로 이동 Auth::guard($this->getGuard())->login($this->create($request->all()));

So 사용자가 등록할 때 생성을 사용자 정의해야 합니다. 사용자 비밀번호의 암호화 방법은 AuthController의 생성 방법만 수정하면 됩니다.

예:

/**
 * Create a new user instance after a valid registration.
 *
 * @param array $data
 * @return User
 */
protected function create(array $data)
{
 $salt = Str::random(6);
 return User::create([
 'nickname' => $data['name'],
 'email' => $data['email'],
 'password' => sha1($salt . $data['password']),
 'register_time' => time(),
 'register_ip' => ip2long(request()->ip()),
 'salt' => $salt
 ]);
}

사용자 로그인 수정

로그인을 수정하기 전에 먼저 라우팅 규칙을 통해 로그인 요청의 특정 컨트롤러와 메소드를 살펴봐야 합니다. 위에서 언급한 인증 메소드 정의에서 확인할 수 있습니다.

 $this->get('login', 'Auth\AuthController@showLoginForm');
 $this->post('login', 'Auth\AuthController@login');
 $this->get('logout', 'Auth\AuthController@logout');

로그인 검증 작업은 AppHttpControllersAuthAuthController 클래스의 login 메소드에 있습니다. AuthController를 열고 Auth 관련 메소드가 모두 특성을 통해 클래스에 도입되었는지 확인합니다. 컴파일 중에 PHP는 특성의 코드를 클래스에 복사합니다. 적용 가능한 시나리오와 도입된 기능의 사용은 여기에서 자세히 설명하지 않습니다. 따라서 AuthController@login 메소드는 실제로

IlluminateFoundationAuthAuthenticatesUsers 특성의

/**
 * Handle a login request to the application.
 *
 * @param \Illuminate\Http\Request $request
 * @return \Illuminate\Http\Response
 */
public function login(Request $request)
{
 $this->validateLogin($request);
 $throttles = $this->isUsingThrottlesLoginsTrait();

 if ($throttles && $lockedOut = $this->hasTooManyLoginAttempts($request)) {
 $this->fireLockoutEvent($request);

 return $this->sendLockoutResponse($request);
 }

 $credentials = $this->getCredentials($request);

 if (Auth::guard($this->getGuard())->attempt($credentials, $request->has('remember'))) {
 return $this->handleUserWasAuthenticated($request, $throttles);
 }

 if ($throttles && ! $lockedOut) {
 $this->incrementLoginAttempts($request);
 }

 return $this->sendFailedLoginResponse($request);
}

특성에 정의되어 있습니다. 로그인 확인의 주요 작업은 Auth::guard($this->getGuard())->attempt($credentials, $request- >has('remember')); 이 메소드가 호출되고 Auth::guard($this->getGuard())는 IlluminateAuthSessionGuard를 얻습니다(얻는 방법에 대한 자세한 내용은 Auth Facade IlluminateAuthAuthManager )

SessionGuard의 시도 메소드가 어떻게 구현되었는지 살펴보세요.

public function attempt(array $credentials = [], $remember = false, $login = true)
{
 $this->fireAttemptEvent($credentials, $remember, $login);

 $this->lastAttempted = $user = $this->provider->retrieveByCredentials($credentials);

 if ($this->hasValidCredentials($user, $credentials)) {
 if ($login) {
  $this->login($user, $remember);
 }

 return true;
 }

 if ($login) {
 $this->fireFailedEvent($user, $credentials);
 }

 return false;
}

/**
 * Determine if the user matches the credentials.
 *
 * @param mixed $user
 * @param array $credentials
 * @return bool
 */

protected function hasValidCredentials($user, $credentials)
{
 return ! is_null($user) && $this->provider->validateCredentials($user, $credentials);
}

retrieveByCredentials는 전달된 필드를 사용하여 데이터베이스에서 사용자 데이터를 검색하고, verifyCredentials는 비밀번호가 올바른지 확인하는 데 사용되는 실제 프로세스입니다.

여기서 주목해야 할 것은 $this->provider가 IlluminateContractsAuthUserProvider 클래스를 구현하는 공급자라는 것입니다. IlluminateAuth 디렉토리 아래에 두 개의 UserProvider 구현, 즉 DatabaseUserProvider와 EloquentUserProvider가 있다는 것을 알 수 있습니다. 하지만 비밀번호를 확인할 때, 이를 확인하려면 인증 구성 파일

'providers' => [
 'users' => [
 'driver' => 'eloquent',
 'model' => App\User::class, //这个是driver用的Model
 ],
],

을 살펴보세요. 여기에 구성된 것은 드라이버 => eloquent이며, SessionGuard가 인스턴스화될 때 EloquentUserProvider의retrieveByCredentials를 통해 확인됩니다. 인증 구성 파일을 읽고 해당 공급자를 인스턴스화하고 SessionGuard에 삽입합니다. IlluminateAuthAuthManager의 createSessionDriver 메소드 소스 코드를 참조하세요.

/**
 * Retrieve a user by the given credentials.
 *
 * @param array $credentials
 * @return \Illuminate\Contracts\Auth\Authenticatable|null
 */
public function retrieveByCredentials(array $credentials)
{
 if (empty($credentials)) {
 return;
 }

 $query = $this->createModel()->newQuery();
 foreach ($credentials as $key => $value) {
 if (! Str::contains($key, 'password')) {
  $query->where($key, $value);
 }
 }
 return $query->first();
}

/**
 * Validate a user against the given credentials.
 *
 * @param \Illuminate\Contracts\Auth\Authenticatable $user
 * @param array $credentials
 * @return bool
 */
public function validateCredentials(UserContract $user, array $credentials)
{
 $plain = $credentials['password'];

 return $this->hasher->check($plain, $user->getAuthPassword());
}

Above 두 가지 메서드인retrieveByCredentials는 이메일을 사용하여 사용자 레코드를 쿼리하는 것과 같이 데이터베이스 사용자 테이블에서 사용자 레코드를 검색하기 위해 비밀번호 이외의 필드를 사용하고, ValidCredentials 메서드는 $this->haser->check를 사용하여 입력된 레코드를 결합합니다. 비밀번호와 해시 비밀번호를 비교하여 비밀번호가 올바른지 확인합니다.

好了，看到这里就很明显了，我们需要改成自己的密码验证就是自己实现一下validateCredentials就可以了，修改$this->hasher->check为我们自己的密码验证规则就可以了。

首先我们修改$user->getAuthPassword()把数据库中用户表的salt和password传递到validateCredentials中
修改App\User.php 添加如下代码

/**
 * The table associated to this model
 */
protected $table = 'user';／／用户表名不是laravel约定的这里要指定一下

/**
 * 禁用Laravel自动管理timestamp列
 */
public $timestamps = false;

/**
 * 覆盖Laravel中默认的getAuthPassword方法, 返回用户的password和salt字段
 * @return type
 */
public function getAuthPassword()
{
 return ['password' => $this->attributes['password'], 'salt' => $this->attributes['salt']];
}

然后我们在建立一个自己的UserProvider接口的实现，放到自定义的目录中：

新建app/Foundation/Auth/AdminEloquentUserProvider.php

namespace App\Foundation\Auth;

use Illuminate\Auth\EloquentUserProvider;
use Illuminate\Contracts\Auth\Authenticatable;
use Illuminate\Support\Str;

class AdminEloquentUserProvider extends EloquentUserProvider
{

 /**
  * Validate a user against the given credentials.
  *
  * @param \Illuminate\Contracts\Auth\Authenticatable $user
  * @param array $credentials
  */
 public function validateCredentials(Authenticatable $user, array $credentials) {
  $plain = $credentials['password'];
  $authPassword = $user->getAuthPassword();

  return sha1($authPassword['salt'] . $plain) == $authPassword['password'];
 }
}

最后我们修改auth配置文件让Laravel在做Auth验证时使用我们刚定义的Provider，
修改config/auth.php：

'providers' => [
 'users' => [
  'driver' => 'admin-eloquent',
  'model' => App\User::class,
 ]
]

修改app/Provider/AuthServiceProvider.php

public function boot(GateContract $gate)
{
 $this->registerPolicies($gate);

 \Auth::provider('admin-eloquent', function ($app, $config) {
  return New \App\Foundation\Auth\AdminEloquentUserProvider($app['hash'], $config['model']);
 });
}

Auth::provider方法是用来注册Provider构造器的，这个构造器是一个Closure，provider方法的具体代码实现在AuthManager文件里

public function provider($name, Closure $callback)
{
 $this->customProviderCreators[$name] = $callback;

 return $this;
}

闭包返回了AdminEloquentUserProvider对象供Laravel Auth使用，好了做完这些修改后Laravel的Auth在做用户登录验证的时候采用的就是自定义的salt + password的方式了。

修改重置密码

Laravel 的重置密码的工作流程是：

向需要重置密码的用户的邮箱发送一封带有重置密码链接的邮件，链接中会包含用户的email地址和token。
用户点击邮件中的链接在重置密码页面输入新的密码，Laravel通过验证email和token确认用户就是发起重置密码请求的用户后将新密码更新到用户在数据表的记录里。

第一步需要配置Laravel的email功能，此外还需要在数据库中创建一个新表password_resets来存储用户的email和对应的token

CREATE TABLE `password_resets` (
 `email` varchar(255) COLLATE utf8_unicode_ci NOT NULL,
 `token` varchar(255) COLLATE utf8_unicode_ci NOT NULL,
 `created_at` timestamp NOT NULL,
 KEY `password_resets_email_index` (`email`),
 KEY `password_resets_token_index` (`token`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_unicode_ci;

通过重置密码表单的提交地址可以看到，表单把新的密码用post提交给了/password/reset，我们先来看一下auth相关的路由，确定/password/reset对应的控制器方法。

 $this->post('password/reset', 'Auth\PasswordController@reset');

可以看到对应的控制器方法是\App\Http\Controllers\Auth\PasswordController类的reset方法，这个方法实际是定义在\Illuminate\Foundation\Auth\ResetsPasswords 这个traits里，PasswordController引入了这个traits

/**
 * Reset the given user's password.
 *
 * @param \Illuminate\Http\Request $request
 * @return \Illuminate\Http\Response
 */
public function reset(Request $request)
{
 $this->validate(
  $request,
  $this->getResetValidationRules(),
  $this->getResetValidationMessages(),
  $this->getResetValidationCustomAttributes()
 );

 $credentials = $this->getResetCredentials($request);

 $broker = $this->getBroker();

 $response = Password::broker($broker)->reset($credentials, function ($user, $password) {
  $this->resetPassword($user, $password);
 });

 switch ($response) {
  case Password::PASSWORD_RESET:
   return $this->getResetSuccessResponse($response);
  default:
   return $this->getResetFailureResponse($request, $response);
 }
}

方法开头先通过validator对输入进行验证,接下来在程序里传递把新密码和一个闭包对象传递给Password::broker($broker)->reset();方法，这个方法定义在\Illuminate\Auth\Passwords\PasswordBroker类里.

/**
 * Reset the password for the given token.
 *
 * @param array $credentials
 * @param \Closure $callback
 * @return mixed
 */
public function reset(array $credentials, Closure $callback)
{
 // If the responses from the validate method is not a user instance, we will
 // assume that it is a redirect and simply return it from this method and
 // the user is properly redirected having an error message on the post.
 $user = $this->validateReset($credentials);

 if (! $user instanceof CanResetPasswordContract) {
  return $user;
 }

 $pass = $credentials['password'];

 // Once we have called this callback, we will remove this token row from the
 // table and return the response from this callback so the user gets sent
 // to the destination given by the developers from the callback return.
 call_user_func($callback, $user, $pass);

 $this->tokens->delete($credentials['token']);

 return static::PASSWORD_RESET;
}

在PasswordBroker的reset方法里，程序会先对用户提交的数据做再一次的认证，然后把密码和用户实例传递给传递进来的闭包，在闭包调用里完成了将新密码更新到用户表的操作，在闭包里程序调用了的PasswrodController类的resetPassword方法

function ($user, $password) {
 $this->resetPassword($user, $password);
});

PasswrodController类resetPassword方法的定义

protected function resetPassword($user, $password)
{
 $user->forceFill([
  'password' => bcrypt($password),
  'remember_token' => Str::random(60),
 ])->save();

 Auth::guard($this->getGuard())->login($user);
}

在这个方法里Laravel 用的是bcrypt 加密了密码，那么要改成我们需要的salt + password的方式，我们在PasswordController类里重写resetPassword方法覆盖掉traits里的该方法就可以了。

/**
 * 覆盖ResetsPasswords traits里的resetPassword方法,改为用sha1(salt + password)的加密方式
 * Reset the given user's password.
 *
 * @param \Illuminate\Contracts\Auth\CanResetPassword $user
 * @param string $password
 * @return void
 */
protected function resetPassword($user, $password)
{
 $salt = Str::random(6);
 $user->forceFill([
  'password' => sha1($salt . $password),
  'salt' => $salt,
  'remember_token' => Str::random(60),
 ])->save();

 \Auth::guard($this->getGuard())->login($user);
}

结语

到这里对Laravel Auth的自定义就完成了，注册、登录和重置密码都改成了sha1(salt + password)的密码加密方式，所有自定义代码都是通过定义Laravel相关类的子类和重写方法来完成没有修改Laravel的源码，这样既保持了良好的可扩展性也保证了项目能够自由迁移。

注：使用的Laravel版本为5.2

인증은 사용자 인증 예시에 소금과 비밀번호를 사용합니다.

관련 기사