我正在编写一个允许用户注册的 PHP 站点，注册用户和未注册用户都可以输入各自的用户名和密码(例如 smith8h4ft - j9hsbnuio)学校网站。
然后，我的 PHP 脚本发送一些 $_POST 变量，下载并解析标记页面，生成一个名为:
marksDB = Array("subject"=> Array("A", "B", "A", "C"), ...)，并重新格式化。
我的问题是: 我应该如何保证用户名和密码的安全？
对于未注册的用户，我目前忘记了用户名和密码并将marksDB 放入$_SESSION。当用户不活动时，例如30 分钟，marksDB 被删除。 $_SESSION 中的这些数据有多安全？如果用户登录后查看页面一次，就再也不会查看它，那么脚本不会从 session 中删除 marksDB 呢？ session 是否自动删除 ( gc.maxlifetime )？
那么注册用户呢？我想让一切都安全，但我不想每 30 分钟不活动就用密码提示来烦扰用户。像描述的那样加密凭据是否安全 here ，但没有第三个用户设置密码？还是我必须每次都询问用户的密码？
编辑:
感谢您的快速回复，
@Justin ᚅᚔᚈᚄᚒᚔ:我怀疑他们有一些 API，但我可以问他们，以防万一
@Abid Hussain:感谢非常有用的链接。 (也感谢两位的回答)。
我会丢弃用户的凭据，只解析 markDB，我可能也会丢弃它(在注销或不活动后)——在需要时再次检索标记很便宜。
最佳答案
如果学校网站没有为此公开 API(例如，using OAuth like the StackExchange sites do)，那么您的选择将受到限制。
一般来说，将用户的明文凭据保留超过绝对必要的时间绝不是一个好主意。您可以想象的任何可能的尝试方式( session 劫持、窃取 key 、解密等)都存在安全隐患。
更好的方法可能是使标记下载过程严格由用户启动。给他们一个按钮，上面写着“检索我的标记”，然后在那里完成身份验证过程，下载标记，然后丢弃他们的凭据。每次他们“同步”时，他们都应该进行身份验证。除非标记经常定期更改，否则您没有理由不能一次下载所有需要的信息，然后将其安全地缓存在服务器上供以后使用。
关于PHP - 加密其他站点的用户名和密码，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/11847830/
我试图在一个项目中使用rake，如果我把所有东西都放到Rakefile中，它会很大并且很难读取/找到东西，所以我试着将每个命名空间放在lib/rake中它自己的文件中，我添加了这个到我的rake文件的顶部:Dir['#{File.dirname(__FILE__)}/lib/rake/*.rake'].map{|f|requiref}它加载文件没问题，但没有任务。我现在只有一个.rake文件作为测试，名为“servers.rake”，它看起来像这样:namespace:serverdotask:testdoputs"test"endend所以当我运行rakeserver:testid时
我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚
我将应用程序升级到Rails4，一切正常。我可以登录并转到我的编辑页面。也更新了观点。使用标准View时，用户会更新。但是当我添加例如字段:name时，它不会在表单中更新。使用devise3.1.1和gem'protected_attributes'我需要在设备或数据库上运行某种更新命令吗？我也搜索过这个地方，找到了许多不同的解决方案，但没有一个会更新我的用户字段。我没有添加任何自定义字段。 最佳答案 如果您想允许额外的参数，您可以在ApplicationController中使用beforefilter，因为Rails4将参数
我意识到这可能是一个非常基本的问题，但我现在已经花了几天时间回过头来解决这个问题，但出于某种原因，Google就是没有帮助我。(我认为部分问题在于我是一个初学者，我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI，但我仍然停留在这个问题上.我找到了一些关于多态关系的信息，但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。
我需要一些关于TDD概念的帮助。假设我有以下代码defexecute(command)casecommandwhen"c"create_new_characterwhen"i"display_inventoryendenddefcreate_new_character#dostufftocreatenewcharacterenddefdisplay_inventory#dostufftodisplayinventoryend现在我不确定要为什么编写单元测试。如果我为execute方法编写单元测试，那不是几乎涵盖了我对create_new_character和display_invent
我在新的Debian6VirtualBoxVM上安装RVM时遇到问题。我已经安装了所有需要的包并使用下载了安装脚本(curl-shttps://rvm.beginrescueend.com/install/rvm)>rvm，但以单个用户身份运行时bashrvm我收到以下错误消息:ERROR:Unabletocheckoutbranch.安装在这里停止，并且(据我所知)没有安装RVM的任何文件。如果我以root身份运行脚本(对于多用户安装)，我会收到另一条消息:Successfullycheckedoutbranch''安装程序继续并指示成功，但未添加.rvm目录，甚至在修改我的.bas
我只想对我一直在思考的这个问题有其他意见，例如我有classuser_controller和classuserclassUserattr_accessor:name,:usernameendclassUserController//dosomethingaboutanythingaboutusersend问题是我的User类中是否应该有逻辑user=User.newuser.do_something(user1)oritshouldbeuser_controller=UserController.newuser_controller.do_something(user1,user2)我
我在加密来self正在使用的第三方供应商的值时遇到问题。他们的指令如下:1)Converttheencryptionpasswordtoabytearray.2)Convertthevaluetobeencryptedtoabytearray.3)Theentirelengthofthearrayisinsertedasthefirstfourbytesontothefrontofthefirstblockoftheresultantbytearraybeforeencryption.4)EncryptthevalueusingAESwith:1.256-bitkeysize,2.25
因为我现在正在做一些时间测量，我想知道是否可以在不使用Benchmark类或命令行实用程序time的情况下测量用户时间或系统时间。使用Time类只显示挂钟时间，而不显示系统和用户时间，但是我正在寻找具有相同灵active的解决方案，例如time=TimeUtility.now#somecodeuser,system,real=TimeUtility.now-time原因是我有点不喜欢Benchmark，因为它不能只返回数字(编辑:我错了-它可以。请参阅下面的答案。)。当然，我可以解析输出，但感觉不对。*NIX系统的time实用程序也应该可以解决我的问题，但我想知道是否已经在Ruby中实
我遇到了一个非常奇怪的问题，我很难解决。在我看来，我有一个与data-remote="true"和data-method="delete"的链接。当我单击该链接时，我可以看到对我的Rails服务器的DELETE请求。返回的JS代码会更改此链接的属性，其中包括href和data-method。再次单击此链接后，我的服务器收到了对新href的请求，但使用的是旧的data-method，即使我已将其从DELETE到POST(它仍然发送一个DELETE请求)。但是，如果我刷新页面，HTML与"new"HTML相同(随返回的JS发生变化)，但它实际上发送了正确的请求类型。这就是这个问题令我困惑的
