目次
PHP永久ログイン、Remember me関数の実装方法と安全対策
ホームページ バックエンド開発 PHPチュートリアル PHP 永続ログイン、Remember me 機能の実装方法と安全対策_PHP チュートリアル

PHP 永続ログイン、Remember me 機能の実装方法と安全対策_PHP チュートリアル

Jul 13, 2016 am 09:55 AM
php

PHP永久ログイン、Remember me関数の実装方法と安全対策

PHP永久ログイン、Remember me関数の実装方法と安全対策

この記事では主に、PHP の永続ログインと覚えておいてください機能の実装方法とセキュリティの実践について紹介します。この記事は、より安全な永続ログインと覚えておいてください機能を実装するためのデータベースの使用に焦点を当てています。

永続ログインとは、ブラウザセッション間で継続的に認証を行うメカニズムを指します。つまり、訪問の間にユーザー セッションが期限切れになったとしても、今日ログインしているユーザーは明日も引き続きログインします。永続的なログインが存在すると、認証メカニズムのセキュリティは低下しますが、使いやすさは向上します。ユーザーがアクセスするたびに認証するのが面倒な代わりに、ログインを記憶するオプションを提供します。

私が観察したところによると、最も一般的な欠陥のある永続ログイン スキームは、ユーザー名とパスワードを Cookie に保存するものです。これを実行したくなるのは当然です。ユーザーにユーザー名とパスワードの入力を求める代わりに、Cookie からそれらを読み取るだけで済みます。残りの検証プロセスは通常のログインとまったく同じであるため、このシナリオは単純です。

ただし、ユーザー名とパスワードを Cookie に保存する場合は、この機能をすぐに無効にして、このセクションの残りの部分を読んで、より安全なソリューションを実装するためのアイデアを見つけてください。また、認証情報が漏洩したため、今後この Cookie を使用するすべてのユーザーにパスワードの変更を要求する必要があります。

永久ログインには、認証 Cookie と呼ばれる永久ログイン Cookie が必要です。これは、Cookie が複数のセッションにわたって安定したデータを提供するために使用される唯一の標準メカニズムであるためです。 Cookie が永続的なアクセスを提供する場合、アプリケーションのセキュリティに重大なリスクが生じるため、Cookie に保存したデータが限られた期間のみ認証に使用できるようにする必要があります。

最初のステップは、キャプチャされた永続的なログイン Cookie によってもたらされるリスクを軽減する方法を考案することです。 Cookie のキャプチャは避けたいものですが、特にこのメカニズムにより、すべてが正常に動作している場合でも検証フォームの安全性が低下する可能性があるため、多層防御プロセスを使用することが最善です。この方法では、ユーザーのパスワードなど、永続的なログインを提供する情報に基づいて Cookie を生成することはできません。

ユーザーのパスワードの使用を避けるために、1 回限りの検証にのみ有効な ID を作成できます:

コードは次のとおりです:

$token = md5(uniqid(rand(), TRUE));

?>

ユーザーのセッションに保存して特定のユーザーに関連付けることはできますが、これは複数のセッションにわたってログイン状態を維持するのに役立ちません。これは大きな問題です。したがって、この ID を特定のユーザーに関連付けるには、別の方法を使用する必要があります。

ユーザー名はパスワードよりも機密性が低いため、Cookie に保存できます。これにより、検証プログラムがどのユーザー ID が提供されたかを確認するのに役立ちます。ただし、より良いアプローチは、推測や発見が難しい 2 番目の ID を使用することです。ユーザー名とパスワードを保存するデータ テーブルに、2 番目の ID (識別子)、永続的なログイン ID (トークン)、および永続的なログイン タイムアウト (タイムアウト) の 3 つのフィールドを追加することを検討してください。

コードは以下の通りです:

mysql> ユーザーを説明する;

+-----------+---------------------+------+-----+--- ------+------+

フィールド タイプ | デフォルト |

+-----------+---------------------+------+-----+--- ------+------+

| varchar(25) |

| varchar(32) | はい |

| varchar(32) |

| varchar(32) | | タイムアウト |

|

+-----------+---------------------+------+-----+--- ------+------+

セカンダリ ID と永続的なログイン ID を生成して保存することで、ユーザー認証情報を含まない Cookie を作成できます。

コードは次のとおりです:

$salt = 'シフレット';

$identifier = md5($salt . md5($username . $salt));

$token = md5(uniqid(rand(), TRUE));

$timeout = time() + 60 * 60 * 24 * 7;

Setcookie('auth', "$identifier:$token", $timeout);

?>

ユーザーが永続ログイン Cookie を使用する場合、それがいくつかの基準を満たしているかどうかを確認できます:

コードは以下の通りです:

/* mysql_connect() */

/* mysql_select_db() */

$clean = array();

$mysql = array();

$now = time();

$salt = 'シフレット';

list($identifier, $token) =explode(':', $_COOKIE['auth']);

if (ctype_alnum($identifier) && ctype_alnum($token))

{

$clean['識別子'] = $識別子;

$clean['token'] = $token;

}

その他

{

/* ... */

}

$mysql['identifier'] = mysql_real_escape_string($clean['identifier']);

$sql = "ユーザー名、トークン、タイムアウトを選択します

ユーザーから

WHERE 識別子 = '{$mysql['識別子']}'";

if ($result = mysql_query($sql))

{

if (mysql_num_rows($result))

{

$record = mysql_fetch_assoc($result);

if ($clean['token'] != $record['token'])

{

/* ログイン失敗 (トークンが間違っています) */

}

elseif ($now > $record['timeout'])

{

/* ログイン失敗(タイムアウト) */

}

elseif ($clean['identifier'] !=

md5($salt . md5($record['username'] . $salt)))

{

/* ログイン失敗 (無効な識別子) */

}

その他

{

/* ログイン成功 */

}

}

その他

{

/* ログイン失敗 (無効な識別子) */

}

}

その他

{

/* エラー */

}

?>

このブロックは、永久登録 Cookie の使用を 3 つの側面から制限します。

1.Cookieは一週間以内(またはそれ以上)の期間に必要です

2.Cookie最高好只能使用一次验证(一次成功验证後即删除又は再生成)

3.サービス端末限定Cookieは一週間(またはそれ以上)期間内に

もしユーザーが無制限に被承認されている場合、そのユーザーの使用頻度が一定期間よりも大きい場合、毎回の承認後に毎回承認を再生成し、新しい Cookie を設定します。すぐにできます。

もう一つの有用な原理は、ユーザーが敏感な操作を実行する前にユーザーがパスワードを提供する必要があるということです。永久登録のみが可能であり、ユーザーが一時的に使用されるアプリケーションでは特に敏感な機能ではありません。のステップ。

最後に、你必要确认登出システム统の用户は确实登了,これには删除永久登录クッキーが含まれます:

复制代码代码如下:

  

setcookie('auth', 'DELETED!', time());

?>

上の例では、Cookie は使用されない値で埋められ、即時実行されるように設定されています。このようにして、1 人のユーザーの時間が不規則であるために Cookie が有効なままである場合でも、有効に退出することができます。

http://www.bkjia.com/PHPjc/990992.html

www.bkjia.com

http://www.bkjia.com/PHPjc/990992.html技術記事 PHP永久登录、记住我機能实现方法と安全做法 PHP永久登录、记住我機能实现方法と安全做法这篇文章主要介绍了PHP永久登录、记住我機能...
このウェブサイトの声明
この記事の内容はネチズンが自主的に寄稿したものであり、著作権は原著者に帰属します。このサイトは、それに相当する法的責任を負いません。盗作または侵害の疑いのあるコンテンツを見つけた場合は、admin@php.cn までご連絡ください。

ホットAIツール

Undresser.AI Undress

Undresser.AI Undress

リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover

AI Clothes Remover

写真から衣服を削除するオンライン AI ツール。

Undress AI Tool

Undress AI Tool

脱衣画像を無料で

Clothoff.io

Clothoff.io

AI衣類リムーバー

Video Face Swap

Video Face Swap

完全無料の AI 顔交換ツールを使用して、あらゆるビデオの顔を簡単に交換できます。

ホットツール

メモ帳++7.3.1

メモ帳++7.3.1

使いやすく無料のコードエディター

SublimeText3 中国語版

SublimeText3 中国語版

中国語版、とても使いやすい

ゼンドスタジオ 13.0.1

ゼンドスタジオ 13.0.1

強力な PHP 統合開発環境

ドリームウィーバー CS6

ドリームウィーバー CS6

ビジュアル Web 開発ツール

SublimeText3 Mac版

SublimeText3 Mac版

神レベルのコード編集ソフト(SublimeText3)

Ubuntu および Debian 用の PHP 8.4 インストールおよびアップグレード ガイド Ubuntu および Debian 用の PHP 8.4 インストールおよびアップグレード ガイド Dec 24, 2024 pm 04:42 PM

PHP 8.4 では、いくつかの新機能、セキュリティの改善、パフォーマンスの改善が行われ、かなりの量の機能の非推奨と削除が行われています。 このガイドでは、Ubuntu、Debian、またはその派生版に PHP 8.4 をインストールする方法、または PHP 8.4 にアップグレードする方法について説明します。

今まで知らなかったことを後悔している 7 つの PHP 関数 今まで知らなかったことを後悔している 7 つの PHP 関数 Nov 13, 2024 am 09:42 AM

あなたが経験豊富な PHP 開発者であれば、すでにそこにいて、すでにそれを行っていると感じているかもしれません。あなたは、運用を達成するために、かなりの数のアプリケーションを開発し、数百万行のコードをデバッグし、大量のスクリプトを微調整してきました。

PHP 開発用に Visual Studio Code (VS Code) をセットアップする方法 PHP 開発用に Visual Studio Code (VS Code) をセットアップする方法 Dec 20, 2024 am 11:31 AM

Visual Studio Code (VS Code とも呼ばれる) は、すべての主要なオペレーティング システムで利用できる無料のソース コード エディター (統合開発環境 (IDE)) です。 多くのプログラミング言語の拡張機能の大規模なコレクションを備えた VS Code は、

JSON Web Tokens(JWT)とPHP APIでのユースケースを説明してください。 JSON Web Tokens(JWT)とPHP APIでのユースケースを説明してください。 Apr 05, 2025 am 12:04 AM

JWTは、JSONに基づくオープン標準であり、主にアイデンティティ認証と情報交換のために、当事者間で情報を安全に送信するために使用されます。 1。JWTは、ヘッダー、ペイロード、署名の3つの部分で構成されています。 2。JWTの実用的な原則には、JWTの生成、JWTの検証、ペイロードの解析という3つのステップが含まれます。 3. PHPでの認証にJWTを使用する場合、JWTを生成および検証でき、ユーザーの役割と許可情報を高度な使用に含めることができます。 4.一般的なエラーには、署名検証障害、トークンの有効期限、およびペイロードが大きくなります。デバッグスキルには、デバッグツールの使用とロギングが含まれます。 5.パフォーマンスの最適化とベストプラクティスには、適切な署名アルゴリズムの使用、有効期間を合理的に設定することが含まれます。

PHPでHTML/XMLを解析および処理するにはどうすればよいですか? PHPでHTML/XMLを解析および処理するにはどうすればよいですか? Feb 07, 2025 am 11:57 AM

このチュートリアルでは、PHPを使用してXMLドキュメントを効率的に処理する方法を示しています。 XML(拡張可能なマークアップ言語)は、人間の読みやすさとマシン解析の両方に合わせて設計された多用途のテキストベースのマークアップ言語です。一般的にデータストレージに使用されます

母音を文字列にカウントするPHPプログラム 母音を文字列にカウントするPHPプログラム Feb 07, 2025 pm 12:12 PM

文字列は、文字、数字、シンボルを含む一連の文字です。このチュートリアルでは、さまざまな方法を使用してPHPの特定の文字列内の母音の数を計算する方法を学びます。英語の母音は、a、e、i、o、u、そしてそれらは大文字または小文字である可能性があります。 母音とは何ですか? 母音は、特定の発音を表すアルファベットのある文字です。大文字と小文字など、英語には5つの母音があります。 a、e、i、o、u 例1 入力:string = "tutorialspoint" 出力:6 説明する 文字列「TutorialSpoint」の母音は、u、o、i、a、o、iです。合計で6元があります

PHPでの後期静的結合を説明します(静的::)。 PHPでの後期静的結合を説明します(静的::)。 Apr 03, 2025 am 12:04 AM

静的結合(静的::) PHPで後期静的結合(LSB)を実装し、クラスを定義するのではなく、静的コンテキストで呼び出しクラスを参照できるようにします。 1)解析プロセスは実行時に実行されます。2)継承関係のコールクラスを検索します。3)パフォーマンスオーバーヘッドをもたらす可能性があります。

PHPマジックメソッド(__construct、__destruct、__call、__get、__setなど)とは何ですか? PHPマジックメソッド(__construct、__destruct、__call、__get、__setなど)とは何ですか? Apr 03, 2025 am 12:03 AM

PHPの魔法の方法は何ですか? PHPの魔法の方法には次のものが含まれます。1。\ _ \ _コンストラクト、オブジェクトの初期化に使用されます。 2。\ _ \ _リソースのクリーンアップに使用される破壊。 3。\ _ \ _呼び出し、存在しないメソッド呼び出しを処理します。 4。\ _ \ _ get、dynamic属性アクセスを実装します。 5。\ _ \ _セット、動的属性設定を実装します。これらの方法は、特定の状況で自動的に呼び出され、コードの柔軟性と効率を向上させます。

See all articles