PHP永久登錄、記住我功能實現方法和安全做法
永久登錄指的是在瀏覽器會話間進行持續(xù)驗證的機制。換句話說，今天已登錄的用戶明天依然是處于登錄狀態(tài)，即使在多次訪問之間的用戶會話過期的情況下也是這樣。永久登錄的存在降低了你的驗證機制的安全性，但它增加了可用性。不是在用戶每次訪問時麻煩用戶進行身份驗證，而是提供了記住登錄的選擇。
據我觀察，最常見的有缺陷的永久登錄方案是將用戶名和密碼保存在一個cookie中。這樣做的誘惑是可以理解的——不需要提示用戶輸入用戶名和密碼，你只要簡單地從cookie中讀取它們即可。驗證過程的其它部分與正常登錄完全相同，因此該方案是一個簡單的方案。
不過如果你確實是把用戶名和密碼存在cookie中的話，請立刻關閉該功能，同時閱讀本節(jié)的余下內容以找到實現更安全的方案的一些思路。你將來還需要要求所有使用該cookie的用戶修改密碼，因為他們的驗證信息已經暴露了。
永久登錄需要一個永久登錄cookie，通常叫做驗證cookie，這是由于cookie是被用來在多個會話間提供穩(wěn)定數據的唯一標準機制。如果該cookie提供永久訪問，它就會造成對你的應用的安全的嚴重風險，所以你需要確定你保存在cookie中的數據只能在有限的時間段內用于身份驗證。
第一步是設計一個方法來減輕被捕獲的永久登錄cookie造成的風險。盡管cookie被捕獲是你需要避免的，但有一個深度防范流程是最好的，特別是因為這種機制即使是在一切運行正常的情況下，也會降低驗證表單的安全性。這樣，該cookie就不能基于任何提供永久登錄的信息來產生，如用戶密碼。
為避免使用用戶的密碼，可以建立一個只供一次驗證有效的標識：
<?php
$token = md5(uniqid(rand(), TRUE));
?>
你可以把它保存在用戶的會話中以把它與特定的用戶相關聯，但這并不能幫助你在多個會話間保持登錄，這是一個大前提。因此，你必須使用一個不同的方法把這個標識與特定的用戶關聯起來。
由于用戶名與密碼相比要不敏感一些，你可以把它存在cookie中，這可以幫助驗證程序確認提供的是哪個用戶的標識?？墒牵粋€更好的方法是使用一個不易猜測與發(fā)現的第二身份標識?？紤]在保存用戶名和密碼的數據表中加入三個字段：第二身份標識(identifier)，永久登錄標識(token)，以及一個永久登錄超時時間(timeout)。
mysql> DESCRIBE users;
+------------+------------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+------------+------------------+------+-----+---------+-------+
| username | varchar(25) | | PRI | | |
| password | varchar(32) | YES | | NULL | |
| identifier | varchar(32) | YES | MUL | NULL | |
| token | varchar(32) | YES | | NULL | |
| timeout | int(10) unsigned | YES | | NULL | |
+------------+------------------+------+-----+---------+-------+
通過產生并保存一個第二身份標識與永久登錄標識，你就可以建立一個不包含任何用戶驗證信息的cookie。
<?php
$salt = 'SHIFLETT';
$identifier = md5($salt . md5($username . $salt));
$token = md5(uniqid(rand(), TRUE));
$timeout = time() + 60 * 60 * 24 * 7;
setcookie('auth', "$identifier:$token", $timeout);
?>
當一個用戶使用了一個永久登錄cookie的情況下，你可以通過是否符合幾個標準來檢查：
<?php
/* mysql_connect() */
/* mysql_select_db() */
$clean = array();
$mysql = array();
$now = time();
$salt = 'SHIFLETT';
list($identifier, $token) = explode(':', $_COOKIE['auth']);
if (ctype_alnum($identifier) && ctype_alnum($token))
{
$clean['identifier'] = $identifier;
$clean['token'] = $token;
}
else
{
/* ... */
}
$mysql['identifier'] = mysql_real_escape_string($clean['identifier']);
$sql = "SELECT username, token, timeout
FROM users
WHERE identifier = '{$mysql['identifier']}'";
if ($result = mysql_query($sql))
{
if (mysql_num_rows($result))
{
$record = mysql_fetch_assoc($result);
if ($clean['token'] != $record['token'])
{
/* Failed Login (wrong token) */
}
elseif ($now > $record['timeout'])
{
/* Failed Login (timeout) */
}
elseif ($clean['identifier'] !=
md5($salt . md5($record['username'] . $salt)))
{
/* Failed Login (invalid identifier) */
}
else
{
/* Successful Login */
}
}
else
{
/* Failed Login (invalid identifier) */
}
}
else
{
/* Error */
}
?>
你應該堅持從三個方面來限制永久登錄cookie的使用。
1.Cookie需在一周內（或更少）過期
2.Cookie最好只能用于一次驗證（在一次成功驗證后即刪除或重新生成）
3.在服務器端限定cookie在一周（或更少）時間內過期
如果你想要用戶無限制的被記住，那只要是該用戶的訪問你的應用的頻度比過期時間更大的話，簡單地在每次驗證后重新生成標識并設定一個新的cookie即可。
另一個有用的原則是在用戶執(zhí)行敏感操作前需要用戶提供密碼。你只能讓永久登錄用戶訪問你的應用中不是特別敏感的功能。在執(zhí)行一些敏感操作前讓用戶手工進行驗證是不可替代的步驟。
最后，你需要確認登出系統(tǒng)的用戶是確實登出了，這包括刪除永久登錄cookie：
<?php
setcookie('auth', 'DELETED!', time());
?>
上例中，cookie被無用的值填充并設為立即過期。這樣，即使是由于一個用戶的時鐘不準而導致cookie保持有效的話，也能保證他有效地退出。
- php.ini 啟用disable_functions提高安全
- php中安全模式safe_mode配置教程
- PHP安全的URL字符串base64編碼和解碼
- 理解php Hash函數，增強密碼安全
- PHP防注入安全代碼
- PHP 線程安全與非線程安全版本的區(qū)別深入解析
- php的mkdir()函數創(chuàng)建文件夾比較安全的權限設置方法
- PHP開發(fā)不能違背的安全規(guī)則 過濾用戶輸入
- php中使用exec,system等函數調用系統(tǒng)命令的方法(不建議使用,可導致安全問題)
- PHP更安全的密碼加密機制Bcrypt詳解
- win2008 r2 服務器php+mysql+sqlserver2008運行環(huán)境配置（從安裝、優(yōu)化、安全等）
- PHP中字符安全過濾函數使用小結
- php 安全過濾函數代碼
- Windows下的PHP安裝文件線程安全和非線程安全的區(qū)別
- PHP實現單例模式最安全的做法
- PHP開發(fā)中常見的安全問題詳解和解決方法（如Sql注入、CSRF、Xss、CC等）
- 簡單的方法讓你的后臺登錄更加安全(php中加session驗證)
- Linux下PHP+Apache的26個必知的安全設置
相關文章
這篇文章主要為大家詳細介紹了php實現圖片壓縮處理，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2020-09-09
今天小編就為大家分享一篇laravel 解決強制跳轉 https的問題，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2019-10-10
今天小編就為大家分享一篇在laravel框架中使用model層的方法，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2019-10-10
這篇文章主要介紹了yii操作session實例,很重要的應用,需要的朋友可以參考下2014-07-07
這篇文章主要為大家詳細介紹了php微信公眾號開發(fā)之現金紅包，具有一定的參考價值，感興趣的小伙伴們可以參考一下2018-04-04
thinkphp5使用phpmail發(fā)送qq郵件的實現過程
這篇文章主要給大家介紹了thinkphp5使用phpmail發(fā)送qq郵件的實現過程,文中有詳細的代碼示例供大家參考,具有一定的參考價值,感興趣的小伙伴可以自己動手嘗試一下2023-10-10
這篇文章主要介紹了Laravel框架Eloquent ORM刪除數據操作,結合實例形式分析了laravel框架ORM三種刪除數據的方式,需要的朋友可以參考下2019-12-12
本篇文章是基于PHP 面向對象之成員方法詳解。需要的朋友參考下2013-05-05
在做用戶注冊和個人中心的安全管理時常常需要用到短信發(fā)送驗證碼，下面這篇文章主要給大家介紹了關于laravel中短信發(fā)送驗證碼的實現方法，文中通過示例代碼介紹的非常詳細，需要的朋友可以參考借鑒，下面隨著小編來一起學習學習吧。2018-04-04
這篇文章主要介紹了Symfony生成二維碼的方法,實例分析了采用google開放api和PHP類庫phpqrcode兩種方法,并結合實例詳細說明了Symfony下使用EndroidQrCodeBundle生成二維碼的具體步驟與實現方法,需要的朋友可以參考下2016-02-02