mysql - PHP验证登录状态的效率和安全性问题-PHP中文网问答

讲师中心微信公众号

首页

文章

后端开发 web前端数据库开发工具 php框架常见问题科技 Java 系统教程电脑教程硬件教程手机教程软件教程游戏教程自媒体新闻

专题

后端开发 web前端数据库开发工具 php框架科技 Java 系统教程电脑教程硬件教程手机教程软件教程游戏教程新闻

AI工具

AI 聊天问答 Agent智能体 AI 文本写作 AI 绘画作图 AI 设计工具 AI 视频创作 AI 音频制作 AI 办公学习 AI 编程开发 Prompt指令

学习

大前端后端开发数据库移动端运维开发计算机基础

编程手册

大前端后端开发数据库移动端运维开发计算机基础

下载

js特效网站源码工具下载类库下载网站素材学习资源插件扩展手机游戏

最近更新

mysql - PHP验证登录状态的效率和安全性问题

迷茫 2017-04-10 14:40:33

[PHP讨论组]

755

在用PHP做验证登录时遇到了一些问题。我的验证方法是：

规定一个私钥key，加密算法是把user_id和key连接起来后求md5
把user_id和加密后的密文存到cookies中
验证时从cookies取出user_id和密文，对user_id再进行一次加密，比较两个密文

想问一下这样做能否确保安全性？md5是否可靠？还有私钥有没有必要设置成与user_id相关的随机字串？

另外，一般网站在登录后都会在每个页面（通常是右上角）显示用户昵称或者用户名，甚至用户的头像，这些数据是存放在数据库中的，如果每个页面都要根据user_id来读取数据库，会不会造成效率下降？如果会，是否要把这些信息存放到cookies或者sessions中？或者是否要对读取数据库的方法进行优化？

迷茫

业精于勤，荒于嬉;行成于思，毁于随。

全部回复(2)

ringa_lee2017-04-10 14:42:33 2楼

在使用了salt string之后，md5其实足够可靠

固定的私钥来做salt其实不好，一旦私钥泄漏之后就很麻烦，而且最痛苦的其实是你不知道你到底有没有泄漏

用户的密码字符串作为salt是更好的办法

签名字符串:

$sign = md5('$user_id+$user+_password[+浏览器UA[+IP地址[...]]]');

里面爱加什么你可以自己发挥

存储到cookie里面的字符串为

$token = $user_id.','.$sign;

然后你需要对用户记录做一个服务器端的缓存，缓存通过用户编号查询，里面至少要包含用户的密码

每次用户请求时，都会从缓存里面去拿他的密码来重新计算数字签名做比对

这样的好处有:

不存在私钥泄漏的问题，即使出问题也不会影响所有用户
slat字符串泄漏就等同于用户的密码泄漏，逻辑上是严密的
即使有人持有$token字符串，只要用户一修改密码，老的$token就马上失效了

在此基础上还可以有其它的发挥，比如用户记录设计专门的一个字段：salt，每次用户登录成功时就生成一个随机字符串更新到salt内，数字签名计算用

// 记得把$user_salt也放到缓存里
$sign = md5('$user_id+$user_password+$user_salt+...');

这样一来，每次用户重新登录之后，之前的$token一定会失效，不但安全性更高，而且还实现了每次只允许一个人登录使用

最后，记得在用户修改密码之后更新你的缓存

PS:
我自己的系统除了使用用户密码来计算数字签名之外，还使用了浏览器UA加固定私钥的方式对$token做了一次对称加密才放到cookie内，算是又多一层保护

赞 +0

添加回复

大家讲道理2017-04-10 14:42:33 1楼

目前我这么干：

一个数组：

$cookie = array();
$cookie['username'] = '';
$cookie['nickname'] = '';
$cookie['email'] = '';
$cookie['userid'] = '';
$cookie['security_token'] = '';
$cookie = serialize($cookie);

$seCookie = AES::encode(SYSTEM_AUTH_KEY,$cookie);
Cookie::set('__token',$seCookie);
Cookie::set('__security_token',$security_token);
/**
 * cookie中还有会话id可以和security_token进行绑定验证
 */

其他页面的验证就看着办好了。此外还可绑定IP、UserAgent等参数。security_token

赞 +0

添加回复

专题推荐

更多>

热门话题

热门教程

更多>