在对用户提供的密码进行哈希处理并将其存储到我的数据库之前，我应该如何转义或清除它们？
当 PHP 开发人员出于安全目的考虑对用户密码进行哈希处理时，他们通常倾向于将这些密码视为其他用户提供的数据。这个主题经常出现在与密码存储相关的 PHP 问题中；开发人员经常希望使用诸如 escape_string()(在各种迭代中)、htmlspecialchars()、addslashes() 和其他人在对其进行散列并将其存储在数据库中之前。
最佳答案
您不应该对您将使用 PHP 的 password_hash() 散列的密码进行转义、修剪或使用任何其他清理机制。出于多种原因，其中最大的原因是对密码进行额外的清理需要不必要的额外代码。
您会争辩(并且您会在每篇接受用户数据在您的系统中使用的帖子中看到这一点)我们应该清理所有用户输入，并且您对于我们从用户那里接受的所有其他信息都是正确的.密码不一样。 散列密码不能提供任何 SQL 注入(inject)威胁，因为字符串在存储到数据库之前已转换为散列。
散列密码的行为是使密码安全地存储在数据库中的行为。散列函数不赋予任何字节特殊含义，因此出于安全原因不需要对其输入进行清理
如果您遵循允许用户使用 passwords / phrases 的口头禅他们渴望和你don't limit passwords , 允许任何长度、任意数量的空格和任何特殊字符散列将使密码/密码短语安全，无论密码中包含什么。截至目前，最常见的散列(默认) PASSWORD_BCRYPT ，将密码变成一个 60 字符宽的字符串，其中包含随机盐以及散列密码信息和成本(创建散列的算法成本):
PASSWORD_BCRYPT is used to create new password hashes using the CRYPT_BLOWFISH algorithm. This will always result in a hash using the "$2y$" crypt format, which is always 60 characters wide.
存储散列的空间需求会随着函数中添加不同的散列方法而发生变化，因此存储散列的列类型总是更好，例如VARCHAR(255)或 TEXT .
您可以使用完整的 SQL 查询作为您的密码，它会被散列，使其无法被 SQL 引擎执行，例如，
SELECT * FROM `users`;
可以散列到 $2y$10$1tOKcWUWBW5gBka04tGMO.BH7gs/qjAHZsC5wyG0zmI2C.KgaqU5G
让我们看看不同的清理方法如何影响密码 -
密码是I'm a "dessert topping" & a <floor wax>! (密码末尾有5个空格，此处不显示。)
当我们应用以下修剪方法时，我们会得到一些截然不同的结果:
var_dump(trim($_POST['upassword']));
var_dump(htmlentities($_POST['upassword']));
var_dump(htmlspecialchars($_POST['upassword']));
var_dump(addslashes($_POST['upassword']));
var_dump(strip_tags($_POST['upassword']));
结果:
string(40) "I'm a "dessert topping" & a <floor wax>!" // spaces at the end are missing
string(65) "I'm a "dessert topping" & a <floor wax>! " // double quotes, ampersand and braces have been changed
string(65) "I'm a "dessert topping" & a <floor wax>! " // same here
string(48) "I\'m a \"dessert topping\" & a <floor wax>! " // escape characters have been added
string(34) "I'm a "dessert topping" & a ! " // looks like we have something missing
当我们将这些发送到 password_hash() 时会发生什么?就像上面的查询一样，它们都被散列了。当您尝试验证密码时，问题就出现了。如果我们使用这些方法中的一种或多种，我们必须在将它们与 password_verify() 进行比较之前重新使用它们。 .以下将失败:
password_verify($_POST['upassword'], $hashed_password); // where $hashed_password comes from a database query
您必须先通过您选择的清理方法运行发布的密码，然后才能将其结果用于密码验证。这是一组不必要的步骤，不会使哈希变得更好。
使用低于 5.5 的 PHP 版本？您可以使用 password_hash() compatibility pack .
你真的不应该使用 MD5 password hashes .
关于php - 清理用户密码，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/36628418/
我将应用程序升级到Rails4，一切正常。我可以登录并转到我的编辑页面。也更新了观点。使用标准View时，用户会更新。但是当我添加例如字段:name时，它不会在表单中更新。使用devise3.1.1和gem'protected_attributes'我需要在设备或数据库上运行某种更新命令吗？我也搜索过这个地方，找到了许多不同的解决方案，但没有一个会更新我的用户字段。我没有添加任何自定义字段。 最佳答案 如果您想允许额外的参数，您可以在ApplicationController中使用beforefilter，因为Rails4将参数
我意识到这可能是一个非常基本的问题，但我现在已经花了几天时间回过头来解决这个问题，但出于某种原因，Google就是没有帮助我。(我认为部分问题在于我是一个初学者，我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI，但我仍然停留在这个问题上.我找到了一些关于多态关系的信息，但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。
我在新的Debian6VirtualBoxVM上安装RVM时遇到问题。我已经安装了所有需要的包并使用下载了安装脚本(curl-shttps://rvm.beginrescueend.com/install/rvm)>rvm，但以单个用户身份运行时bashrvm我收到以下错误消息:ERROR:Unabletocheckoutbranch.安装在这里停止，并且(据我所知)没有安装RVM的任何文件。如果我以root身份运行脚本(对于多用户安装)，我会收到另一条消息:Successfullycheckedoutbranch''安装程序继续并指示成功，但未添加.rvm目录，甚至在修改我的.bas
因为我现在正在做一些时间测量，我想知道是否可以在不使用Benchmark类或命令行实用程序time的情况下测量用户时间或系统时间。使用Time类只显示挂钟时间，而不显示系统和用户时间，但是我正在寻找具有相同灵active的解决方案，例如time=TimeUtility.now#somecodeuser,system,real=TimeUtility.now-time原因是我有点不喜欢Benchmark，因为它不能只返回数字(编辑:我错了-它可以。请参阅下面的答案。)。当然，我可以解析输出，但感觉不对。*NIX系统的time实用程序也应该可以解决我的问题，但我想知道是否已经在Ruby中实
我遇到了一个非常奇怪的问题，我很难解决。在我看来，我有一个与data-remote="true"和data-method="delete"的链接。当我单击该链接时，我可以看到对我的Rails服务器的DELETE请求。返回的JS代码会更改此链接的属性，其中包括href和data-method。再次单击此链接后，我的服务器收到了对新href的请求，但使用的是旧的data-method，即使我已将其从DELETE到POST(它仍然发送一个DELETE请求)。但是，如果我刷新页面，HTML与"new"HTML相同(随返回的JS发生变化)，但它实际上发送了正确的请求类型。这就是这个问题令我困惑的
我是Ruby的新手。我试过查看在线文档，但没有找到任何有效的方法。我想在以下HTTP请求botget_response()和get()中包含一个用户代理。有人可以指出我正确的方向吗？#PreliminarycheckthatProggitisupcheck=Net::HTTP.get_response(URI.parse(proggit_url))ifcheck.code!="200"puts"ErrorcontactingProggit"returnend#Attempttogetthejsonresponse=Net::HTTP.get(URI.parse(proggit_url)
有人知道如何将capybarapoltergeist的用户代理覆盖到移动用户代理以进行测试吗？我发现了一些有关为seleniumwebdriver配置它的信息:http://blog.plataformatec.com.br/2011/03/configuring-user-agents-with-capybara-selenium-webdriver/这在capybara闹鬼中怎么可能？ 最佳答案 请参阅poltergeistgithub页面上的链接:https://github.com/teampoltergeist/polte
A/ctohttp://wiki.nginx.org/CoreModule#usermaster进程曾经以root用户运行，是否可以以不同的用户运行nginxmaster进程？ 最佳答案 只需以非root身份运行init脚本(即/etc/init.d/nginxstart)，就可以用不同的用户运行nginxmaster进程。如果这真的是你想要做的，你将需要确保日志和pid目录(通常是/var/log/nginx&/var/run/nginx.pid)对该用户是可写的，并且您所有的listen调用都是针对大于1024的端口(因为绑定(
有没有办法在Rails中为确认字段自定义消息？例如在设计中我必须输入密码和password_confirmation并且错误消息是:Passwordconfirmationdoesn'tmatchPassword我可以更改事件记录语言环境消息(“不匹配”)，但它会在该语言环境消息的开头和结尾输出密码确认和密码，所以我得到如下内容:"PasswordconfirmationmustmatchPassword"有没有办法将其更改为不同的字符串？PasswordconfirmationandPasswordmustmatch.编辑另一件事是拥有完全自定义的消息，例如:'Setpassword
我在Rails上使用带有ruby的solr。一切正常，我只需要知道是否有任何现有代码来清理用户输入，比如以?开头的查询。或* 最佳答案 我不知道执行此操作的任何代码，但理论上可以通过查看parsingcodeinLucene来完成并搜索thrownewParseException(只有16个匹配!)。在实践中，我认为您最好只捕获代码中的任何solr异常并显示“无效查询”消息或类似信息。编辑:这里有几个“sanitizer”:http://pivotallabs.com/users/zach/blog/articles/937-s