草庐IT

php - 安全登录脚本应该包含哪些内容？

coder 2024-04-23 原文

我要写一个安全的登录脚本，请问它应该有什么样的组件。

目前我想到的是这些

基本

  • 使用 PDO 作为 mysql 数据库的连接器
  • 使用 SHA512 保护密码(是否应该涉及盐/ token ？)
  • Session 和 cookie 管理，尽量避免 session id 的劫持(你能给我一些关于它的文章吗？)
  • XSS 预防(你能给我推荐一篇文章吗？)
  • 输入的 SQL 注入(inject)预防卫生
  • 通过 https 的安全连接

注册

  • 在使用 reCaptcha 注册方面

登录

  • 计算登录尝试次数并在 5 次失败尝试后阻止，以防止暴力攻击。

登录后

  • 具有破坏功能的 session 计时器(12 分钟结束 session )，单击以更新计时器 [有人有这方面的示例吗？我找不到任何 ]

是否还有其他我应该考虑的主要安全提示？

谢谢。

最佳答案

这实际上是一个不平凡的问题，有很多问题需要考虑。幸运的是，已经为您解决了很多问题。

  • 密码哈希:使用 password_hash() 和 password_verify() -- 不要使用像 MD5 或 SHA1 这样的快速哈希，而且不要推出自己的哈希策略，否则您会发现自己草率地 reshape PBKDF2——password_hash() 可以完成您可能希望它做的所有事情，而不必强调实现细节。它们是足够的；学好这些工具。如果您使用的是 PHP < 5.5，请使用="">password_compat
  • 数据库 API:PDO 很棒。确保充分利用准备好的语句将 SQL 查询与用户提供的数据分开。否则，厄运。

  • session 管理:使用内置 session ，在任何地方都使用 HTTPS，不要混合内容，设置 "httponly" 和 "secure" 为 true。在权限升级时重新生成 session (例如，用户登录)。

    如果想偏执，可以防御session fixation attacks (这些天实际上不被认为是实用的)通过设置 canary session 变量。页面加载时，如果 $_SESSION['canary'] 未定义(或与预期值不匹配)，则销毁 session 并将用户视为新访客。

  • 速率限制:在 N 次登录尝试后添加手动验证码(其中 N 大于 1 但仍然很小)。
  • 记住我:“看似微不足道，实则不然”的完美示例。 Covered in this blog post .如果您不需要它，请不要实现它。
  • Account Recovery: A back-door by any other name .如果您可以忽略此功能，则根本不要实现它。大多数用户无法对安全问题提供可靠的 secret 答案。
  • 注册:您至少需要一个验证码。
  • XSS 预防:这是任何安全网络应用程序的一部分，并非特定于您的登录表单。也就是说，HTMLPurifier如果你想允许 HTML，它是非常可靠的；如果你不想允许 HTML，htmlentities($input, ENT_QUOTES | ENT_HTML5, 'UTF-8') 非常可靠。

我希望通过 Paragon Initiative Enterprises blog 上的一系列非常详尽的博客文章来回答这个问题。 .

关于php - 安全登录脚本应该包含哪些内容？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/28695117/

php安全stronglicodesecurity

有关php - 安全登录脚本应该包含哪些内容？的更多相关文章

  1. ruby - 如何将脚本文件的末尾读取为数据文件(Perl 或任何其他语言) - 2

    我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚

  2. ruby - 将数组的内容转换为 int - 2

    我需要读入一个包含数字列表的文件。此代码读取文件并将其放入二维数组中。现在我需要获取数组中所有数字的平均值，但我需要将数组的内容更改为int。有什么想法可以将to_i方法放在哪里吗？ClassTerraindefinitializefile_name@input=IO.readlines(file_name)#readinfile@size=@input[0].to_i@land=[@size]x=1whilex 最佳答案 只需将数组映射为整数:@land边注如果你想得到一条线的平均值，你可以这样做:values=@input[x]

  3. ruby - 检查 "command"的输出应该包含 NilClass 的意外崩溃 - 2

    为了将Cucumber用于命令行脚本，我按照提供的说明安装了arubagem。它在我的Gemfile中，我可以验证是否安装了正确的版本并且我已经包含了require'aruba/cucumber'在'features/env.rb'中为了确保它能正常工作，我写了以下场景:@announceScenario:Testingcucumber/arubaGivenablankslateThentheoutputfrom"ls-la"shouldcontain"drw"假设事情应该失败。它确实失败了，但失败的原因是错误的:@announceScenario:Testingcucumber/ar

  4. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  5. ruby-on-rails - 独立 ruby​​ 脚本的配置文件 - 2

    我有一个在Linux服务器上运行的ruby​​脚本。它不使用rails或任何东西。它基本上是一个命令行ruby​​脚本，可以像这样传递参数:./ruby_script.rbarg1arg2如何将参数抽象到配置文件(例如yaml文件或其他文件)中？您能否举例说明如何做到这一点？提前谢谢你。 最佳答案 首先，您可以运行一个写入YAML配置文件的独立脚本:require"yaml"File.write("path_to_yaml_file",[arg1,arg2].to_yaml)然后，在您的应用中阅读它:require"yaml"arg

  6. ruby-on-rails - 如何在我的 Rails 应用程序 View 中打印 ruby​​ 变量的内容？ - 2

    我是一个Rails初学者，但我想从我的RailsView(html.haml文件)中查看Ruby变量的内容。我试图在ruby​​中打印出变量(认为它会在终端中出现)，但没有得到任何结果。有什么建议吗？我知道Rails调试器，但更喜欢使用inspect来打印我的变量。 最佳答案 您可以在View中使用puts方法将信息输出到服务器控制台。您应该能够在View中的任何位置使用Haml执行以下操作:-puts@my_variable.inspect 关于ruby-on-rails-如何在我的R

  7. ruby - 检查字符串是否包含散列中的任何键并返回它包含的键的值 - 2

    我有一个包含多个键的散列和一个字符串，该字符串不包含散列中的任何键或包含一个键。h={"k1"=>"v1","k2"=>"v2","k3"=>"v3"}s="thisisanexamplestringthatmightoccurwithakeysomewhereinthestringk1(withspecialcharacterslike(^&*$#@!^&&*))"检查s是否包含h中的任何键的最佳方法是什么，如果包含，则返回它包含的键的值？例如，对于上面的h和s的例子，输出应该是v1。编辑:只有字符串是用户定义的。哈希将始终相同。 最佳答案

  8. ruby - 查找字符串中的内容类型(数字、日期、时间、字符串等) - 2

    我正在尝试解析一个CSV文件并使用SQL命令自动为其创建一个表。CSV中的第一行给出了列标题。但我需要推断每个列的类型。Ruby中是否有任何函数可以找到每个字段中内容的类型。例如，CSV行:"12012","Test","1233.22","12:21:22","10/10/2009"应该产生像这样的类型['integer','string','float','time','date']谢谢! 最佳答案 require'time'defto_something(str)if(num=Integer(str)rescueFloat(s

  9. ruby - 如何安全地删除文件？ - 2

    在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  10. java - 我的模型类或其他类中应该有逻辑吗 - 2

    我只想对我一直在思考的这个问题有其他意见，例如我有classuser_controller和classuserclassUserattr_accessor:name,:usernameendclassUserController//dosomethingaboutanythingaboutusersend问题是我的User类中是否应该有逻辑user=User.newuser.do_something(user1)oritshouldbeuser_controller=UserController.newuser_controller.do_something(user1,user2)我

随机推荐