搜索
首页后端开发php教程PHP永久登录、记住我功能实现方法和安全做法_PHP教程

PHP永久登录、记住我功能实现方法和安全做法

   PHP永久登录、记住我功能实现方法和安全做法

         这篇文章主要介绍了PHP永久登录、记住我功能实现方法和安全做法,本文着重讲解用数据库实现更安全的永久登录、记住我功能,需要的朋友可以参考下

  永久登录指的是在浏览器会话间进行持续验证的机制。换句话说,今天已登录的用户明天依然是处于登录状态,即使在多次访问之间的用户会话过期的情况下也是这样。永久登录的存在降低了你的验证机制的安全性,但它增加了可用性。不是在用户每次访问时麻烦用户进行身份验证,而是提供了记住登录的选择。

  据我观察,最常见的有缺陷的永久登录方案是将用户名和密码保存在一个cookie中。这样做的诱惑是可以理解的——不需要提示用户输入用户名和密码,你只要简单地从cookie中读取它们即可。验证过程的其它部分与正常登录完全相同,因此该方案是一个简单的方案。

  不过如果你确实是把用户名和密码存在cookie中的话,请立刻关闭该功能,同时阅读本节的余下内容以找到实现更安全的方案的一些思路。你将来还需要要求所有使用该cookie的用户修改密码,因为他们的验证信息已经暴露了。

  永久登录需要一个永久登录cookie,通常叫做验证cookie,这是由于cookie是被用来在多个会话间提供稳定数据的唯一标准机制。如果该cookie提供永久访问,它就会造成对你的应用的安全的严重风险,所以你需要确定你保存在cookie中的数据只能在有限的时间段内用于身份验证。

  第一步是设计一个方法来减轻被捕获的永久登录cookie造成的风险。尽管cookie被捕获是你需要避免的,但有一个深度防范流程是最好的,特别是因为这种机制即使是在一切运行正常的情况下,也会降低验证表单的安全性。这样,该cookie就不能基于任何提供永久登录的信息来产生,如用户密码。

  为避免使用用户的密码,可以建立一个只供一次验证有效的标识:

  代码如下:

  

  $token = md5(uniqid(rand(), TRUE));

  ?>

  你可以把它保存在用户的会话中以把它与特定的用户相关联,但这并不能帮助你在多个会话间保持登录,这是一个大前提。因此,你必须使用一个不同的方法把这个标识与特定的用户关联起来。

  由于用户名与密码相比要不敏感一些,你可以把它存在cookie中,这可以帮助验证程序确认提供的是哪个用户的标识。可是,一个更好的方法是使用一个不易猜测与发现的第二身份标识。考虑在保存用户名和密码的数据表中加入三个字段:第二身份标识(identifier),永久登录标识(token),以及一个永久登录超时时间(timeout)。

   代码如下:

  mysql> DESCRIBE users;

  +------------+------------------+------+-----+---------+-------+

  | Field | Type | Null | Key | Default | Extra |

  +------------+------------------+------+-----+---------+-------+

  | username | varchar(25) | | PRI | | |

  | password | varchar(32) | YES | | NULL | |

  | identifier | varchar(32) | YES | MUL | NULL | |

  | token | varchar(32) | YES | | NULL | |

  | timeout | int(10) unsigned | YES | | NULL | |

  +------------+------------------+------+-----+---------+-------+

  通过产生并保存一个第二身份标识与永久登录标识,你就可以建立一个不包含任何用户验证信息的cookie。

  代码如下:

  

  $salt = 'SHIFLETT';

  $identifier = md5($salt . md5($username . $salt));

  $token = md5(uniqid(rand(), TRUE));

  $timeout = time() + 60 * 60 * 24 * 7;

  setcookie('auth', "$identifier:$token", $timeout);

  ?>

  当一个用户使用了一个永久登录cookie的情况下,你可以通过是否符合几个标准来检查:

   代码如下:

  

  /* mysql_connect() */

  /* mysql_select_db() */

  $clean = array();

  $mysql = array();

  $now = time();

  $salt = 'SHIFLETT';

  list($identifier, $token) = explode(':', $_COOKIE['auth']);

  if (ctype_alnum($identifier) && ctype_alnum($token))

  {

  $clean['identifier'] = $identifier;

  $clean['token'] = $token;

  }

  else

  {

  /* ... */

  }

  $mysql['identifier'] = mysql_real_escape_string($clean['identifier']);

  $sql = "SELECT username, token, timeout

  FROM users

  WHERE identifier = '{$mysql['identifier']}'";

  if ($result = mysql_query($sql))

  {

  if (mysql_num_rows($result))

  {

  $record = mysql_fetch_assoc($result);

  if ($clean['token'] != $record['token'])

  {

  /* Failed Login (wrong token) */

  }

  elseif ($now > $record['timeout'])

  {

  /* Failed Login (timeout) */

  }

  elseif ($clean['identifier'] !=

  md5($salt . md5($record['username'] . $salt)))

  {

  /* Failed Login (invalid identifier) */

  }

  else

  {

  /* Successful Login */

  }

  }

  else

  {

  /* Failed Login (invalid identifier) */

  }

  }

  else

  {

  /* Error */

  }

  ?>

  你应该坚持从三个方面来限制永久登录cookie的使用。

  1.Cookie需在一周内(或更少)过期

  2.Cookie最好只能用于一次验证(在一次成功验证后即删除或重新生成)

  3.在服务器端限定cookie在一周(或更少)时间内过期

  如果你想要用户无限制的被记住,那只要是该用户的访问你的应用的频度比过期时间更大的话,简单地在每次验证后重新生成标识并设定一个新的cookie即可。

  另一个有用的原则是在用户执行敏感操作前需要用户提供密码。你只能让永久登录用户访问你的应用中不是特别敏感的功能。在执行一些敏感操作前让用户手工进行验证是不可替代的步骤。

  最后,你需要确认登出系统的用户是确实登出了,这包括删除永久登录cookie:

  复制代码 代码如下:

  

  setcookie('auth', 'DELETED!', time());

  ?>

  上例中,cookie被无用的值填充并设为立即过期。这样,即使是由于一个用户的时钟不准而导致cookie保持有效的话,也能保证他有效地退出。

www.bkjia.comtruehttp://www.bkjia.com/PHPjc/990992.htmlTechArticlePHP永久登录、记住我功能实现方法和安全做法 PHP永久登录、记住我功能实现方法和安全做法 这篇文章主要介绍了PHP永久登录、记住我功能...
声明
本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn
继续使用PHP:耐力的原因继续使用PHP:耐力的原因Apr 19, 2025 am 12:23 AM

PHP仍然流行的原因是其易用性、灵活性和强大的生态系统。1)易用性和简单语法使其成为初学者的首选。2)与web开发紧密结合,处理HTTP请求和数据库交互出色。3)庞大的生态系统提供了丰富的工具和库。4)活跃的社区和开源性质使其适应新需求和技术趋势。

PHP和Python:探索他们的相似性和差异PHP和Python:探索他们的相似性和差异Apr 19, 2025 am 12:21 AM

PHP和Python都是高层次的编程语言,广泛应用于Web开发、数据处理和自动化任务。1.PHP常用于构建动态网站和内容管理系统,而Python常用于构建Web框架和数据科学。2.PHP使用echo输出内容,Python使用print。3.两者都支持面向对象编程,但语法和关键字不同。4.PHP支持弱类型转换,Python则更严格。5.PHP性能优化包括使用OPcache和异步编程,Python则使用cProfile和异步编程。

PHP和Python:解释了不同的范例PHP和Python:解释了不同的范例Apr 18, 2025 am 12:26 AM

PHP主要是过程式编程,但也支持面向对象编程(OOP);Python支持多种范式,包括OOP、函数式和过程式编程。PHP适合web开发,Python适用于多种应用,如数据分析和机器学习。

PHP和Python:深入了解他们的历史PHP和Python:深入了解他们的历史Apr 18, 2025 am 12:25 AM

PHP起源于1994年,由RasmusLerdorf开发,最初用于跟踪网站访问者,逐渐演变为服务器端脚本语言,广泛应用于网页开发。Python由GuidovanRossum于1980年代末开发,1991年首次发布,强调代码可读性和简洁性,适用于科学计算、数据分析等领域。

在PHP和Python之间进行选择:指南在PHP和Python之间进行选择:指南Apr 18, 2025 am 12:24 AM

PHP适合网页开发和快速原型开发,Python适用于数据科学和机器学习。1.PHP用于动态网页开发,语法简单,适合快速开发。2.Python语法简洁,适用于多领域,库生态系统强大。

PHP和框架:现代化语言PHP和框架:现代化语言Apr 18, 2025 am 12:14 AM

PHP在现代化进程中仍然重要,因为它支持大量网站和应用,并通过框架适应开发需求。1.PHP7提升了性能并引入了新功能。2.现代框架如Laravel、Symfony和CodeIgniter简化开发,提高代码质量。3.性能优化和最佳实践进一步提升应用效率。

PHP的影响:网络开发及以后PHP的影响:网络开发及以后Apr 18, 2025 am 12:10 AM

PHPhassignificantlyimpactedwebdevelopmentandextendsbeyondit.1)ItpowersmajorplatformslikeWordPressandexcelsindatabaseinteractions.2)PHP'sadaptabilityallowsittoscaleforlargeapplicationsusingframeworkslikeLaravel.3)Beyondweb,PHPisusedincommand-linescrip

PHP类型提示如何起作用,包括标量类型,返回类型,联合类型和无效类型?PHP类型提示如何起作用,包括标量类型,返回类型,联合类型和无效类型?Apr 17, 2025 am 12:25 AM

PHP类型提示提升代码质量和可读性。1)标量类型提示:自PHP7.0起,允许在函数参数中指定基本数据类型,如int、float等。2)返回类型提示:确保函数返回值类型的一致性。3)联合类型提示:自PHP8.0起,允许在函数参数或返回值中指定多个类型。4)可空类型提示:允许包含null值,处理可能返回空值的函数。

See all articles

热AI工具

Undresser.AI Undress

Undresser.AI Undress

人工智能驱动的应用程序,用于创建逼真的裸体照片

AI Clothes Remover

AI Clothes Remover

用于从照片中去除衣服的在线人工智能工具。

Undress AI Tool

Undress AI Tool

免费脱衣服图片

Clothoff.io

Clothoff.io

AI脱衣机

AI Hentai Generator

AI Hentai Generator

免费生成ai无尽的。

热工具

记事本++7.3.1

记事本++7.3.1

好用且免费的代码编辑器

SublimeText3 Mac版

SublimeText3 Mac版

神级代码编辑软件(SublimeText3)

Dreamweaver Mac版

Dreamweaver Mac版

视觉化网页开发工具

WebStorm Mac版

WebStorm Mac版

好用的JavaScript开发工具

禅工作室 13.0.1

禅工作室 13.0.1

功能强大的PHP集成开发环境