首页 资讯 社群 我的社区 搜索

PHP安全之道学习笔记6:密码安全

yimo~
2020-04-01 12:12:07

PHP安全之道:密码安全

   最近几年用户数据泄露越发频繁,一些使用PHP技术的大型网站被暴库或者脱库,facebook公司曾因为此类事件股价暴跌。从长远发展来看,用户的数据安全对于网站来说至关重要,所以开发者需要关注数据相关的安全,并提高一些对敏感数据的技术性保护。

   用户数据的安全往往和用户密码安全息息相关。用户将账号和相关数据存储在服务器上,而密码成了第一个环节。

  • 1.常规加密方法

    MD5或者SHA1

具体代码如下所示:

<?php
   $password = $_POST['password'];
   echo md5($password); // md5加密
   echo sha1($password); // sha1加密
 

   由于这种加密手段比较常规,如果用户设置的密码过于常见简单,攻击者完全可以使用密码字典进行暴力破解。所以不建议使用MD5等弱加密算法对密码等敏感数据进行加密,使用散列算法进行加密更佳,如:SHA256或者SHA512。这些算法被用于如ssl证书生成或一些重要的生成算法中,值得使用。

PHP内置了hash()函数,具体使用如下代码所示。

<?php
    $password = $_POST['password'];
    echo hash('sha256', $password); // 使用sha256加密
    echo hash('sha512', $password); // 使用sha512加密

曾经有一个神奇的电商网站有一句有名的slogan:"我为自己代言。"在密码安全方面我们也可以为自己的数据加点“盐”,增加安全系数。

使用盐(salt)甚至随机salt来加密,可以让破解更加困难。简单例子如下:

<?php
    $password = $_POST['password'];
    $salt = rand(1, 100000);
    $password = sha1($password . $salt);

而更为复杂的加密,可以使用mcrypt函数来生成salt,代码如下:

<?php
    $password = $_POST['password'];
    $salt = base64_encode(mcrpyt_create_iv(32, MCRYPT_DEV_RANDOM);
    $password = md5($password . $salt);

当然还可以根据自己实际业务需要自定义自己的算法,以前和腾讯的研发联调接口的时候,我们还会约定不同的业务接口使用不同的业务代码来增加token算法的复杂度。

为了防止暴力破解,可以注意以下方面:

  • 1.使用验证码进行登录验证或相关授权。
  • 2.定期刷新秘钥。
  • 3.使用随机数的复杂算法。
  • 4.限制某时间段内验证次数。
用户评论