PHP永久登錄、記住我功能實(shí)現(xiàn)方法和安全做法
永久登錄指的是在瀏覽器會(huì)話間進(jìn)行持續(xù)驗(yàn)證的機(jī)制。換句話說，今天已登錄的用戶明天依然是處于登錄狀態(tài)，即使在多次訪問之間的用戶會(huì)話過期的情況下也是這樣。永久登錄的存在降低了你的驗(yàn)證機(jī)制的安全性，但它增加了可用性。不是在用戶每次訪問時(shí)麻煩用戶進(jìn)行身份驗(yàn)證，而是提供了記住登錄的選擇。
據(jù)我觀察，最常見的有缺陷的永久登錄方案是將用戶名和密碼保存在一個(gè)cookie中。這樣做的誘惑是可以理解的——不需要提示用戶輸入用戶名和密碼，你只要簡(jiǎn)單地從cookie中讀取它們即可。驗(yàn)證過程的其它部分與正常登錄完全相同，因此該方案是一個(gè)簡(jiǎn)單的方案。
不過如果你確實(shí)是把用戶名和密碼存在cookie中的話，請(qǐng)立刻關(guān)閉該功能，同時(shí)閱讀本節(jié)的余下內(nèi)容以找到實(shí)現(xiàn)更安全的方案的一些思路。你將來還需要要求所有使用該cookie的用戶修改密碼，因?yàn)樗麄兊尿?yàn)證信息已經(jīng)暴露了。
永久登錄需要一個(gè)永久登錄cookie，通常叫做驗(yàn)證cookie，這是由于cookie是被用來在多個(gè)會(huì)話間提供穩(wěn)定數(shù)據(jù)的唯一標(biāo)準(zhǔn)機(jī)制。如果該cookie提供永久訪問，它就會(huì)造成對(duì)你的應(yīng)用的安全的嚴(yán)重風(fēng)險(xiǎn)，所以你需要確定你保存在cookie中的數(shù)據(jù)只能在有限的時(shí)間段內(nèi)用于身份驗(yàn)證。
第一步是設(shè)計(jì)一個(gè)方法來減輕被捕獲的永久登錄cookie造成的風(fēng)險(xiǎn)。盡管cookie被捕獲是你需要避免的，但有一個(gè)深度防范流程是最好的，特別是因?yàn)檫@種機(jī)制即使是在一切運(yùn)行正常的情況下，也會(huì)降低驗(yàn)證表單的安全性。這樣，該cookie就不能基于任何提供永久登錄的信息來產(chǎn)生，如用戶密碼。
為避免使用用戶的密碼，可以建立一個(gè)只供一次驗(yàn)證有效的標(biāo)識(shí)：
<?php
$token = md5(uniqid(rand(), TRUE));
?>
你可以把它保存在用戶的會(huì)話中以把它與特定的用戶相關(guān)聯(lián)，但這并不能幫助你在多個(gè)會(huì)話間保持登錄，這是一個(gè)大前提。因此，你必須使用一個(gè)不同的方法把這個(gè)標(biāo)識(shí)與特定的用戶關(guān)聯(lián)起來。
由于用戶名與密碼相比要不敏感一些，你可以把它存在cookie中，這可以幫助驗(yàn)證程序確認(rèn)提供的是哪個(gè)用戶的標(biāo)識(shí)?？墒牵粋€(gè)更好的方法是使用一個(gè)不易猜測(cè)與發(fā)現(xiàn)的第二身份標(biāo)識(shí)?？紤]在保存用戶名和密碼的數(shù)據(jù)表中加入三個(gè)字段：第二身份標(biāo)識(shí)(identifier)，永久登錄標(biāo)識(shí)(token)，以及一個(gè)永久登錄超時(shí)時(shí)間(timeout)。
mysql> DESCRIBE users;
+------------+------------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+------------+------------------+------+-----+---------+-------+
| username | varchar(25) | | PRI | | |
| password | varchar(32) | YES | | NULL | |
| identifier | varchar(32) | YES | MUL | NULL | |
| token | varchar(32) | YES | | NULL | |
| timeout | int(10) unsigned | YES | | NULL | |
+------------+------------------+------+-----+---------+-------+
通過產(chǎn)生并保存一個(gè)第二身份標(biāo)識(shí)與永久登錄標(biāo)識(shí)，你就可以建立一個(gè)不包含任何用戶驗(yàn)證信息的cookie。
<?php
$salt = 'SHIFLETT';
$identifier = md5($salt . md5($username . $salt));
$token = md5(uniqid(rand(), TRUE));
$timeout = time() + 60 * 60 * 24 * 7;
setcookie('auth', "$identifier:$token", $timeout);
?>
當(dāng)一個(gè)用戶使用了一個(gè)永久登錄cookie的情況下，你可以通過是否符合幾個(gè)標(biāo)準(zhǔn)來檢查：
<?php
/* mysql_connect() */
/* mysql_select_db() */
$clean = array();
$mysql = array();
$now = time();
$salt = 'SHIFLETT';
list($identifier, $token) = explode(':', $_COOKIE['auth']);
if (ctype_alnum($identifier) && ctype_alnum($token))
{
$clean['identifier'] = $identifier;
$clean['token'] = $token;
}
else
{
/* ... */
}
$mysql['identifier'] = mysql_real_escape_string($clean['identifier']);
$sql = "SELECT username, token, timeout
FROM users
WHERE identifier = '{$mysql['identifier']}'";
if ($result = mysql_query($sql))
{
if (mysql_num_rows($result))
{
$record = mysql_fetch_assoc($result);
if ($clean['token'] != $record['token'])
{
/* Failed Login (wrong token) */
}
elseif ($now > $record['timeout'])
{
/* Failed Login (timeout) */
}
elseif ($clean['identifier'] !=
md5($salt . md5($record['username'] . $salt)))
{
/* Failed Login (invalid identifier) */
}
else
{
/* Successful Login */
}
}
else
{
/* Failed Login (invalid identifier) */
}
}
else
{
/* Error */
}
?>
你應(yīng)該堅(jiān)持從三個(gè)方面來限制永久登錄cookie的使用。
1.Cookie需在一周內(nèi)（或更少）過期
2.Cookie最好只能用于一次驗(yàn)證（在一次成功驗(yàn)證后即刪除或重新生成）
3.在服務(wù)器端限定cookie在一周（或更少）時(shí)間內(nèi)過期
如果你想要用戶無限制的被記住，那只要是該用戶的訪問你的應(yīng)用的頻度比過期時(shí)間更大的話，簡(jiǎn)單地在每次驗(yàn)證后重新生成標(biāo)識(shí)并設(shè)定一個(gè)新的cookie即可。
另一個(gè)有用的原則是在用戶執(zhí)行敏感操作前需要用戶提供密碼。你只能讓永久登錄用戶訪問你的應(yīng)用中不是特別敏感的功能。在執(zhí)行一些敏感操作前讓用戶手工進(jìn)行驗(yàn)證是不可替代的步驟。
最后，你需要確認(rèn)登出系統(tǒng)的用戶是確實(shí)登出了，這包括刪除永久登錄cookie：
<?php
setcookie('auth', 'DELETED!', time());
?>
上例中，cookie被無用的值填充并設(shè)為立即過期。這樣，即使是由于一個(gè)用戶的時(shí)鐘不準(zhǔn)而導(dǎo)致cookie保持有效的話，也能保證他有效地退出。
- php.ini 啟用disable_functions提高安全
- php中安全模式safe_mode配置教程
- PHP安全的URL字符串base64編碼和解碼
- 理解php Hash函數(shù)，增強(qiáng)密碼安全
- PHP防注入安全代碼
- PHP 線程安全與非線程安全版本的區(qū)別深入解析
- php的mkdir()函數(shù)創(chuàng)建文件夾比較安全的權(quán)限設(shè)置方法
- PHP開發(fā)不能違背的安全規(guī)則 過濾用戶輸入
- php中使用exec,system等函數(shù)調(diào)用系統(tǒng)命令的方法(不建議使用,可導(dǎo)致安全問題)
- PHP更安全的密碼加密機(jī)制Bcrypt詳解
- win2008 r2 服務(wù)器php+mysql+sqlserver2008運(yùn)行環(huán)境配置（從安裝、優(yōu)化、安全等）
- PHP中字符安全過濾函數(shù)使用小結(jié)
- php 安全過濾函數(shù)代碼
- Windows下的PHP安裝文件線程安全和非線程安全的區(qū)別
- PHP實(shí)現(xiàn)單例模式最安全的做法
- PHP開發(fā)中常見的安全問題詳解和解決方法（如Sql注入、CSRF、Xss、CC等）
- 簡(jiǎn)單的方法讓你的后臺(tái)登錄更加安全(php中加session驗(yàn)證)
- Linux下PHP+Apache的26個(gè)必知的安全設(shè)置
相關(guān)文章
這篇文章主要給大家介紹了關(guān)于如何在Laravel之外使用illuminate組件的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-09-09
這篇文章主要介紹了PHP使用QR Code生成二維碼實(shí)例,本篇文章通過簡(jiǎn)要的案例,講解了該項(xiàng)技術(shù)的了解與使用,以下就是詳細(xì)內(nèi)容,需要的朋友可以參考下2021-07-07
詳解關(guān)于php的xdebug配置(編輯器vscode)
這篇文章主要介紹了詳解關(guān)于php的xdebug配置(編輯器vscode)，小編覺得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2019-01-01
異常拋出在開發(fā)中錯(cuò)誤處理是非常重要的，下面這篇文章主要給大家介紹了關(guān)于Laravel中錯(cuò)誤與異常處理用法的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，需要的朋友可以參考借鑒，下面來一起看看吧2018-09-09
php for 循環(huán)使用的簡(jiǎn)單實(shí)例
下面小編就為大家?guī)硪黄猵hp for 循環(huán)使用的簡(jiǎn)單實(shí)例。小編覺得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2016-06-06
這篇文章主要介紹了PHP程序員必須清楚的問題匯總,需要的朋友可以參考下2014-12-12
下面小編就為大家?guī)硪黄猵hp 讀取輸出其他文件的實(shí)現(xiàn)方法。小編覺得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2016-07-07
PHP實(shí)現(xiàn)linux命令tail -f
tail 命令從指定點(diǎn)開始將文件寫到標(biāo)準(zhǔn)輸出.使用tail命令的-f選項(xiàng)可以方便的查閱正在改變的日志文件,tail -f filename會(huì)把filename里最尾部的內(nèi)容顯示在屏幕上,并且不但刷新,使你看到最新的文件內(nèi)容.接下來通過本文給大家介紹PHP實(shí)現(xiàn)linux命令tail -f，需要的朋友參考下2016-02-02
關(guān)于PHP定時(shí)發(fā)送服務(wù)的解決辦法
這篇文章主要介紹了關(guān)于PHP定時(shí)發(fā)送服務(wù)的解決辦法,需要的朋友可以參考下2017-04-04
解決在laravel中l(wèi)eftjoin帶條件查詢沒有返回右表為NULL的問題
今天小編就為大家分享一篇解決在laravel中l(wèi)eftjoin帶條件查詢沒有返回右表為NULL的問題，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過來看看吧2019-10-10