《PHP教程：PHP永久登錄、記住我功能實現方法和安全做法》要點：
本文介紹了PHP教程：PHP永久登錄、記住我功能實現方法和安全做法，希望對您有用。如果有疑問，可以聯系我們。
永久登錄指的是在瀏覽器會話間進行持續驗證的機制.換句話說,今天已登錄的用戶明天依然是處于登錄狀態,即使在多次訪問之間的用戶會話過期的情況下也是這樣.永久登錄的存在降低了你的驗證機制的平安性,但它增加了可用性.不是在用戶每次訪問時麻煩用戶進行身份驗證,而是提供了記住登錄的選擇.PHP編程
據我觀察,最常見的有缺陷的永久登錄方案是將用戶名和暗碼保存在一個cookie中.這樣做的誘惑是可以理解的――不需要提示用戶輸入用戶名和暗碼,你只要簡單地從cookie中讀取它們即可.驗證過程的其它部分與正常登錄完全相同,因此該方案是一個簡單的方案.PHP編程
不過如果你確實是把用戶名和密碼存在cookie中的話,請立刻關閉該功能,同時閱讀本節的余下內容以找到實現更平安的方案的一些思路.你將來還需要要求所有使用該cookie的用戶修改密碼,因為他們的驗證信息已經暴露了.PHP編程
永久登錄需要一個永久登錄cookie,通常叫做驗證cookie,這是由于cookie是被用來在多個會話間提供穩定數據的唯一標準機制.如果該cookie提供永久訪問,它就會造成對你的應用的平安的嚴重風險,所以你需要確定你保存在cookie中的數據只能在有限的時間段內用于身份驗證.PHP編程
第一步是設計一個方法來減輕被捕獲的永久登錄cookie造成的風險.盡管cookie被捕獲是你需要避免的,但有一個深度防范流程是最好的,特別是因為這種機制即使是在一切運行正常的情況下,也會降低驗證表單的平安性.這樣,該cookie就不能基于任何提供永久登錄的信息來產生,如用戶密碼.PHP編程
為避免使用用戶的暗碼,可以建立一個只供一次驗證有效的標識：
PHP編程
由于用戶名與暗碼相比要不敏感一些,你可以把它存在cookie中,這可以幫助驗證程序確認提供的是哪個用戶的標識.可是,一個更好的方法是使用一個不易猜測與發現的第二身份標識.考慮在保存用戶名和暗碼的數據表中加入三個字段：第二身份標識(identifier),永久登錄標識(token),以及一個永久登錄超時時間(timeout).
PHP編程
$salt = 'SHIFLETT';PHP編程
$identifier = md5($salt . md5($username . $salt));
$token = md5(uniqid(rand(), TRUE));
$timeout = time() + 60 * 60 * 24 * 7;PHP編程
setcookie('auth', "$identifier:$token", $timeout);PHP編程
?>
PHP編程
/* mysql_connect() */
/* mysql_select_db() */PHP編程
$clean = array();
$mysql = array();PHP編程
$now = time();
$salt = 'SHIFLETT';PHP編程
list($identifier, $token) = explode(':', $_COOKIE['auth']);PHP編程
if (ctype_alnum($identifier) && ctype_alnum($token))
{
? $clean['identifier'] = $identifier;
? $clean['token'] = $token;
}
else
{
? /* ... */
}PHP編程
$mysql['identifier'] = mysql_real_escape_string($clean['identifier']);PHP編程
$sql = "SELECT username, token, timeout
??????? FROM?? users
??????? WHERE? identifier = '{$mysql['identifier']}'";PHP編程
if ($result = mysql_query($sql))
{
? if (mysql_num_rows($result))
? {
??? $record = mysql_fetch_assoc($result);PHP編程
??? if ($clean['token'] != $record['token'])
??? {
????? /* Failed Login (wrong token) */
??? }
??? elseif ($now > $record['timeout'])
??? {
????? /* Failed Login (timeout) */
??? }
??? elseif ($clean['identifier'] !=
??????????? md5($salt . md5($record['username'] . $salt)))
??? {
????? /* Failed Login (invalid identifier) */
??? }
??? else
??? {
????? /* Successful Login */
??? }PHP編程
? }
? else
? {
??? /* Failed Login (invalid identifier) */
? }
}
else
{
? /* Error */
}PHP編程
?>
PHP編程
1.Cookie需在一周內(或更少)過期
2.Cookie最好只能用于一次驗證(在一次成功驗證后即刪除或重新生成)
3.在服務器端限定cookie在一周(或更少)時間內過期PHP編程
如果你想要用戶無限制的被記住,那只要是該用戶的拜訪你的應用的頻度比過期時間更大的話,簡單地在每次驗證后重新生成標識并設定一個新的cookie即可.PHP編程
另一個有用的原則是在用戶執行敏感操作前需要用戶提供暗碼.你只能讓永久登錄用戶訪問你的應用中不是特別敏感的功能.在執行一些敏感操作前讓用戶手工進行驗證是不可替代的步驟.PHP編程
最后,你需要確認登出系統的用戶是確實登出了,這包含刪除永久登錄cookie：
PHP編程
維易PHP培訓學院每天發布《PHP教程：PHP永久登錄、記住我功能實現方法和安全做法》等實戰技能，PHP、MYSQL、LINUX、APP、JS,CSS全面培養人才。
