华山资源网

PHP中常见的密码处理方式和建议总结
网络编程 2024/11/16 佚名
3 1

前言

在使用PHP开发Web应用的中，很多的应用都会要求用户注册，而注册的时候就需要我们对用户的信息进行处理了，最常见的莫过于就是邮箱和密码了，本文意在讨论对密码的处理：也就是对密码的加密处理。

密码安全的重要性我们就不用再去强调，随着在线攻击的增多，如果我们对密码没有进行合适的处理或做防御措施，我们的应用就会肯定会收到来自各方的威胁和攻击。

PHP中常见的密码处理方式和建议总结

所以作为开发者，我们需要对用户的密码做好预防措施。

关于密码我们应该遵守的一些原则

绝对不能知道用户的密码

  • 我们绝对不能知道用户的密码，也不能有获取用户密码的方式。
  • 知道的越少（包括我们开发者自己）越安全。

绝对不去约束用户的密码

  • 最好不要去约束密码的长度、格式等。
  • 如果要求密码符合一个特定的模式，其实对于那些不怀好意的人也提供了攻击的途径。
  • 如果必须要约束的话，建议只限制最小长度。并把常用的密码或基于字典创建的密码加入黑名单，也是一个好主意。

绝对不通过电子邮件发送用户的密码

对于一个web应用来说，重置或修改密码时，我们应该在邮件里发送用于设定或修改密码的 URL 。而且这个URL中应该会包含一个唯一的令牌，这个令牌只能在设定或修改密码时使用一次。在设定或修改密码之后，我们就应该把这个令牌置为失效。

使用 bcrypt 计算用户密码的哈希值

目前，通过大量的审查，最安全的哈希算法是 bcrypt 。

首先，我们明确两个概念，哈希、加密。哈希和加密有什么区别？

加密

加密是双向算法，加密的数据之后通过解密还可以得到。

哈希

哈希是单向算法，哈希后的数据不能再还原成原始值。

哈希算法的用途，

验证数据的完整性（要求算法速度快）

  • 用户提高密码等需要单向验证的数据的安全性（要求安全性高，甚至故意要求时间慢）
  • 一般我们在数据库中保存的应该是计算出来的密码的哈希值。这样即使我们的数据库泄露了，他们也只能看到这些无意义的密码的哈希值。

哈希的算法有很多种，

MD5

MD5即Message-Digest Algorithm 5（信息-摘要算法5），用于确保信息传输完整一致。是计算机广泛使用的杂凑算法之一（又译摘要算法、哈希算法），主流编程语言普遍已有MD5实现。将数据（如汉字）运算为另一固定长度值，是杂凑算法的基础原理，MD5的前身有MD2、MD3和MD4。

SHA1

安全哈希算法（Secure Hash Algorithm）主要适用于数字签名标准 （Digital Signature Standard DSS）里面定义的数字签名算法（Digital Signature Algorithm DSA）。对于长度小于2^64位的消息，SHA1会产生一个160位的消息摘要。当接收到消息的时候，这个消息摘要可以用来验证数据的完整性。在传输的过程中，数据很可能会发生变化，那么这时候就会产生不同的消息摘要。 SHA1有如下特性：不可以从消息摘要中复原信息；两个不同的消息不会产生同样的消息摘要,(但会有1x10 ^ 48分之一的机率出现相同的消息摘要,一般使用时忽略)。

bcrypt

bcrypt是专门为密码存储而设计的算法，基于Blowfish加密算法变形而来，由Niels Provos和David Mazières发表于1999年的USENIX。　bcrypt最大的好处是有一个参数（work factor)，可用于调整计算强度，而且work factor是包括在输出的摘要中的。随着攻击者计算能力的提高，使用者可以逐步增大work factor，而且不会影响已有用户的登陆。　bcrypt经过了很多安全专家的仔细分析，使用在以安全著称的OpenBSD中，一般认为它比PBKDF2更能承受随着计算能力加强而带来的风险。bcrypt也有广泛的函数库支持，因此我们建议使用这种方式存储密码。

scrypt

scrypt不仅计算所需时间长，而且占用的内存也多，使得并行计算多个摘要异常困难，因此利用rainbow table进行暴力攻击更加困难。scrypt没有在生产环境中大规模应用，并且缺乏仔细的审察和广泛的函数库支持 。但是，scrypt在算法层面只要没有破绽，它的安全性应该高于PBKDF2和bcrypt。

目前，通过大量的审查，最安全的哈希算法是 bcrypt 。与 MD5 和 SHA1 不同， bcrypt 算法会自动加盐，来防止潜在的彩虹表攻击。 bcrypt 算法会花费大量的时间反复处理数据，来生成安全的哈希值。在这个过程中，处理数据的次数叫工作因子（work factor）。工作因子的值越高，破解密码哈希值的时间会成指数倍增长。

bcrypt 算法永不过时，如果计算机的运算速度变快了，我们只需要提高工作因子即可。

顺带说一下，任何情况下尽可能的不要使用 md5 算法，至少也要使用 SHA 系列的哈希算法。因为md5算法以目前计算机的计算能力来说显得比较简单，而 md5 的性能优势现在也已经完全可以忽略不计了。

密码哈希API

上面我们说到 bcrypt 算法最安全，最适合对我们的密码进行哈希。 PHP 在 PHP5.5.0+ 的版本中提供了原生的密码哈希API供我们使用，这个密码哈希API默认使用的就是 bcrypt 哈希算法，从而大大简化了我们计算密码哈希值和验证密码的操作。

PHP原生密码哈希API

密码哈希函数：

  • password_get_info
    返回指定的哈希值的相关信息
  • password_hash
    创建密码的哈希（hash）
  • password_needs_rehash
    检查给定的哈希是否与给定的选项匹配
  • password_verify
    验证密码是否和哈希匹配

password_get_info

说明

array password_get_info ( string $hash )

参数

hash, 一个由 password_hash() 创建的散列值。

示例，

<"algo"]=>
 int(1)
 ["algoName"]=>
 string(6) "bcrypt"
 ["options"]=>
 array(1) {
 ["cost"]=>
 int(10)
 }
}
"htmlcode">



<"rasmuslerdorf", PASSWORD_DEFAULT)."\n";
"htmlcode">



<"rasmuslerdorf", PASSWORD_BCRYPT, $options)."\n";
"htmlcode">



<"test", PASSWORD_BCRYPT, ["cost" => $cost]);
 $end = microtime(true);
} while (($end - $start) < $timeTarget);

echo "Appropriate Cost Found: " . $cost . "\n";
"htmlcode">



<"color: #800000">注意 password_hash() 返回的哈希包含了算法、 cost 和盐值。 因此，所有需要的信息都包含内。使得验证函数不需要储存额外盐值等信息即可验证哈希。


参数


    
  
  • password, 用户的密码。
    • 
  
  • hash, 一个由 password_hash() 创建的散列值。
    • 



示例，





<"color: #ff0000">PHP5.50 之前的密码哈希 API




安东尼·费拉拉（PHP原生密码哈希 API的开发者）为PHP5.5.0 以下的版本也提供了 ircmaxell/password-compat组件（https://packagist.org/packages/ircmaxell/password-compat）。


这个组件也实现了PHP密码哈希API中的所有函数，


    
  
  • password_get_info
    • 
  
  • password_hash
    • 
  
  • password_needs_rehash
    • 
  
  • password_verify
    • 



我们可以直接使用 Composer 把这个组件添加到我们的应用中就行了。例如，




composer require ircmaxell/password-compat




总结


以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对的支持。


                                

                                

                                     

                                
华山资源网 Design By www.eoogi.com

                            

                        

                        

                            

                                广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）

                                免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
                            

                        

                        

                            
                            
                        

                        
                        
华山资源网 Design By www.eoogi.com

                        
                        
                    

                    

                        

                            

                                

                                    

                                        

                                    

                                    

                                        

                                            
                                        

                                    

                                

                                

                                    
www.eoogi.com
                                            
                                                华山资源网 
                                    

                                    

                                        

                                            
                                        

                                        

                                            
                                        

                                        

                                            
                                        

                                        

                                            
                                        

                                    

                                    

                                    

                                        

                                            120,135影音资源
                                        

                                        

                                            344,641技术资源
                                        

                                        

                                            22,817软件资源
                                        

                                        

                                            435,032站长资源
                                        

                                    

                                

                            

                            
                            
一句话新闻
苹果官宣WWDC 2024！预计会有大批AI功能 - 2024/11/16

3月27日消息，苹果宣布2024年全球开发者大会（WWDC）将于6月10日至6月14日举行，巧合的是，这次大会与端午假期重合。

苹果官方表示：

在线参加 Apple 每年规模最大的开发者盛会。亲眼见证 Apple 最新平台、技术和工具的发布。了解如何创建和改进你的 App 和游戏。与 Apple 设计师和工程师互动交流，与全球开发者社区建立联系。以上活动均免费在线举行。

探索各种新的工具、框架和功能，助力你打造出理想的 App 和游戏。通过视频讲座学习新技能，与 Apple 专家进行一对一会面，以推进你的项目，完善你的构思。

Swift Student Challenge 旨在支持和鼓舞下一代开发者、创作者和企业家。太平洋时间 3 月 28 日，我们将公布今年的获奖者名单。获奖者将有资格参加在 Apple Park 举办的特别活动。我们还会选出 50 名杰出获胜者，他们将受邀前往库比提诺，获得为期三天的非凡体验，包括参加 Apple Park 的特别活动。

RTX 5090要首发 性能要翻倍！三星展示GDDR7显存

三星在GTC上展示了专为下一代游戏GPU设计的GDDR7内存。

首次推出的GDDR7内存模块密度为16GB，每个模块容量为2GB。其速度预设为32 Gbps（PAM3），但也可以降至28 Gbps，以提高产量和初始阶段的整体性能和成本效益。

据三星表示，GDDR7内存的能效将提高20%，同时工作电压仅为1.1V，低于标准的1.2V。通过采用更新的封装材料和优化的电路设计，使得在高速运行时的发热量降低，GDDR7的热阻比GDDR6降低了70%。

更新日志

友情链接

杰晶网络 DDR爱好者之家 桃源资源网 杰网资源 富贵资源网 南强小屋 铁雪资源网 幽灵资源网 万梅资源网 狼山资源网 白云岛资源网 昆仑资源网 相思资源网 明霞山资源网 内蒙古资源网 黑松山资源网 茶园资源网 饿虎岗资源网 大旗谷资源网 常春岛资源网 岱庙资源网 兴国资源网 快活林资源网 蝙蝠岛资源网 帝王谷资源网 白云城资源网 伏龙阁资源网 清风细雨楼 天枫庄资源网 圆月山庄资源网 无争山庄资源网 神水资源网 移花宫资源网 神剑山庄资源网 无为清净楼资源网 金钱帮资源网 丐帮资源网 华山资源网 极乐门资源网 小李飞刀资源网 凤求凰客栈 风云阁资源网 金狮镖局 鸳鸯亭资源网 千金楼资源网 更多链接
华山资源网 Design By www.eoogi.com