如何處理登錄驗證和會話

Question

使用codeigniter來開發我的最新項目。這就是說，處理登錄會話的「最佳」方式是什麼？現在，我檢查數據庫的用戶名/密碼。如果它匹配，我設置各種會話變量，其中之一是用戶名。在整個我的網站中，我檢查用戶是否登錄。我還閱讀了各種博客，其中人們實際上根據某種類型的php會話ID檢查會話。

所以我想我的問題是，有什麼方法使網站安全？顯然，我不會在cookie中保存任何內容，會話將保存在某種數據庫表中。

Answer 1

CodeIgniter不使用本機PHP會話。它生成自己的會話數據。您需要通過調用$this->load->library('session');加載庫'會話'。

我所做的是在用戶使用加密類進行註冊時加密密碼。這是通過調用$this->load->library('encrypt');然後$this->encrypt->encode("user_password")完成的。您需要通過在您的config.php文件中寫入加密密鑰來指定加密密鑰：$ config ['encryption_key'] =「您的密鑰」;.

然後，要驗證憑據，我從數據庫獲取加密的密碼，並調用$this->encrypt->decode("user_password")並檢查它是否與用戶編寫的密碼匹配。

驗證憑據後，我將用戶保存在CodeIgniter會話中的信息儲存起來。這是通過設置一個具有所需參數的數組然後調用$this->session->set_userdata($newdata);來完成的。

例（從http://codeigniter.com/user_guide/libraries/sessions.html複製）：

$newdata = array(
       'username' => 'johndoe', 
       'email'  => 'johndoe@some-site.com', 
       'logged_in' => TRUE 
      ); 

$this->session->set_userdata($newdata); 

然後，以檢查用戶登錄，您只需要每個方法測試中，如果用戶通過調用像這樣登錄：$this->session->userdata('logged_in');

要註銷用戶，只需銷燬會話：$this->session->sess_destroy();。

根據我的經驗有幾個東西，該框架爲您做的：

1. 它一定的閒置時間後破壞了會議。
2. CodeIgniter從表單中清除輸入數據。例如，如果你試圖輸入「（」或「'」，或者可以打破或創造不需要的SQL語句的任何其他字符，笨逃脫他們從你的。
3. 它的岩石，它是非常靈活的，完整的。
4. The user guide is your friend.它基本上包含你需要知道的一切，並給你如何做到這一點的例子。

Answer 2

你絕對是在正確的軌道上。

• 對數據庫進行身份驗證憑據
會話數據
• 商店認證狀態
• 檢查用戶在每次訪問一個頁面驗證要求身份驗證

爲了讓您的登錄過程的安全：

• 不要將密碼以純文本形式存儲在數據庫中，存儲散列（sha1（ ）與鹽效果很好）
• 消毒是來自於用戶的任何和所有輸入（包括登錄表單數據）
• 不要存放你不想在cookie中篡改任何數據

我還沒有親自使用CodeIgniter，但我很確定像這樣的成熟框架將有類來處理默認內置的問題。

這裏是CI link

Answer 3

一個快速教程認證不管你保存到一個會話什麼它非常安全，因爲其只保存到你的（但願不是shared-）hostserver。如果您想使用cookie，請僅存儲通過數據庫鏈接到用戶數據的令牌。我也非常肯定，ci有一個基本的認證模塊，如果不是它不遲到切換到kohana一個良好的認證模塊和ORM善良。