PHP永久登錄、記住我功能實(shí)現(xiàn)方法和安全做法

         這篇文章主要介紹了PHP永久登錄、記住我功能實(shí)現(xiàn)方法和安全做法,本文著重講解用數(shù)據(jù)庫(kù)實(shí)現(xiàn)更安全的永久登錄、記住我功能,需要的朋友可以參考下

　　永久登錄指的是在瀏覽器會(huì)話間進(jìn)行持續(xù)驗(yàn)證的機(jī)制。換句話說(shuō)，今天已登錄的用戶明天依然是處于登錄狀態(tài)，即使在多次訪問(wèn)之間的用戶會(huì)話過(guò)期的情況下也是這樣。永久登錄的存在降低了你的驗(yàn)證機(jī)制的安全性，但它增加了可用性。不是在用戶每次訪問(wèn)時(shí)麻煩用戶進(jìn)行身份驗(yàn)證，而是提供了記住登錄的選擇。

　　據(jù)我觀察，最常見的有缺陷的永久登錄方案是將用戶名和密碼保存在一個(gè)cookie中。這樣做的誘惑是可以理解的——不需要提示用戶輸入用戶名和密碼，你只要簡(jiǎn)單地從cookie中讀取它們即可。驗(yàn)證過(guò)程的其它部分與正常登錄完全相同，因此該方案是一個(gè)簡(jiǎn)單的方案。

　　不過(guò)如果你確實(shí)是把用戶名和密碼存在cookie中的話，請(qǐng)立刻關(guān)閉該功能，同時(shí)閱讀本節(jié)的余下內(nèi)容以找到實(shí)現(xiàn)更安全的方案的一些思路。你將來(lái)還需要要求所有使用該cookie的用戶修改密碼，因?yàn)樗麄兊尿?yàn)證信息已經(jīng)暴露了。

　　永久登錄需要一個(gè)永久登錄cookie，通常叫做驗(yàn)證cookie，這是由于cookie是被用來(lái)在多個(gè)會(huì)話間提供穩(wěn)定數(shù)據(jù)的唯一標(biāo)準(zhǔn)機(jī)制。如果該cookie提供永久訪問(wèn)，它就會(huì)造成對(duì)你的應(yīng)用的安全的嚴(yán)重風(fēng)險(xiǎn)，所以你需要確定你保存在cookie中的數(shù)據(jù)只能在有限的時(shí)間段內(nèi)用于身份驗(yàn)證。

　　第一步是設(shè)計(jì)一個(gè)方法來(lái)減輕被捕獲的永久登錄cookie造成的風(fēng)險(xiǎn)。盡管cookie被捕獲是你需要避免的，但有一個(gè)深度防范流程是最好的，特別是因?yàn)檫@種機(jī)制即使是在一切運(yùn)行正常的情況下，也會(huì)降低驗(yàn)證表單的安全性。這樣，該cookie就不能基于任何提供永久登錄的信息來(lái)產(chǎn)生，如用戶密碼。

　　為避免使用用戶的密碼，可以建立一個(gè)只供一次驗(yàn)證有效的標(biāo)識(shí)：

　　代碼如下:

　　$token = md5(uniqid(rand(), TRUE));

　　?>

　　你可以把它保存在用戶的會(huì)話中以把它與特定的用戶相關(guān)聯(lián)，但這并不能幫助你在多個(gè)會(huì)話間保持登錄，這是一個(gè)大前提。因此，你必須使用一個(gè)不同的方法把這個(gè)標(biāo)識(shí)與特定的用戶關(guān)聯(lián)起來(lái)。

　　由于用戶名與密碼相比要不敏感一些，你可以把它存在cookie中，這可以幫助驗(yàn)證程序確認(rèn)提供的是哪個(gè)用戶的標(biāo)識(shí)。可是，一個(gè)更好的方法是使用一個(gè)不易猜測(cè)與發(fā)現(xiàn)的第二身份標(biāo)識(shí)。考慮在保存用戶名和密碼的數(shù)據(jù)表中加入三個(gè)字段：第二身份標(biāo)識(shí)(identifier)，永久登錄標(biāo)識(shí)(toke

　　 代碼如下:

　　mysql> DESCRIBE users;

　　+------------+------------------+------+-----+---------+-------+

　　| Field | Type | Null | Key | Default | Extra |

　　+------------+------------------+------+-----+---------+-------+

　　| username | varchar(25) | | PRI | | |

　　| password | varchar(32) | YES | | NULL | |

　　| identifier | varchar(32) | YES | MUL | NULL | |

　　| token | varchar(32) | YES | | NULL | |

　　| timeout | int(10) unsigned | YES | | NULL | |

　　+------------+------------------+------+-----+---------+-------+

　　通過(guò)產(chǎn)生并保存一個(gè)第二身份標(biāo)識(shí)與永久登錄標(biāo)識(shí)，你就可以建立一個(gè)不包含任何用戶驗(yàn)證信息的cookie。