使用HTTPS和cookies安全地傳輸密碼

Question

我對PHP很陌生，請耐心等待。我創建了一個我使用基本身份驗證和SSL（Apache服務器）保護的網站。但是，由於用戶標識和密碼以純文本形式傳輸，因此這種情況是安全的。我已經考慮過摘要認證，但是由於不相關的原因，這並不太合適。

因此，我現在正在考慮SSL加密整個網站（事實已經如此），並使用基於cookie的機制進行會話身份驗證。我已閱讀並（我相信）瞭解如何使用PHP設置和取消設置Cookie的基本知識，但我無法找到一個如何實現安全登錄機制的好例子。然而，這肯定是一種非常常見的登錄情況，因此我認爲一些預製的登錄頁面可能已經可用於輕鬆定製。

如果有人能夠指導我如何實施基於cookie的安全登錄的分步教程，我將非常感激！提前謝謝了！

Answer 1

如果您對整個站點使用SSL，則用戶名和密碼不會以純文本形式傳輸，而是作爲加密連接的一部分傳輸。

與SSL結合使用的基本身份驗證對於大多數Web應用程序來說是一個足夠安全的設置。

Answer 2

這裏有一些術語混淆。首先，你說錯在通過SSL發送密碼是不安全的。其次，你認證與授權混淆。認證證明用戶是他自稱的人。用戶名和密碼這樣做，這部分就完成了。那時你爲用戶創建一個會話，包含他的身份和他可能承擔的角色。會話通過cookie保存在請求中。然後，當他訪問站點的某些部分時，您必須檢查他的角色，看他們是否與您定義爲訪問該區域所需的角色相匹配。您可以通過Apache配置完成所有這些工作，而無需編寫任何代碼。