password_hash 及加密密码字段的意义及登录安全流程

客官°小女子只卖身不卖艺 2022-05-29 12:49 602阅读 0赞

一、加盐  
在用户表的**password字段**中，为了防止**数据库泄露后**用户的**密码**被黑客获取，所以存储的不是用户的**密码明文**，而是把**密码明文**拼接一些**随机很长**的**特殊字符串**(slot盐值)，再进行**md5加密**，这种加密方式也加**加盐**。加盐是为了**防止**黑客得到**数据库密码信息**后把**简单明文密码md5字符串**进行**彩虹表破解**，从而**反推**出来你的**明文密码**。

二、使用password\_hash函数实现加盐  
在**不使用password\_hash**的时候。我们是使用**自己定义的盐值**，但如果盐值**泄露出去**，那么黑客就可以使用 **猜密码值+盐值** 进行破解。黑客可以**无限的进行猜密码值**不需要**猜盐值**。说不定经过大量的运算还真让黑客猜出来了**密码值**。所以为了更加安全，要确保**盐值是不固定的**，所以可以使用**password\_hash函数**，它会随机的**动态生成盐值**，这也是password\_hash能够动态产生密文的原因。password\_hash采用了 bcrypt算法。其它语言应该也有对应的bcrpt库。

三、密码原则  
但是也要注意，黑客可以使用**暴力猜密码**进行猜你的密码，所以我们的明文密码要复杂一点。通常最好是数字加上字母的组合在9位以上。  
而且在服务端登录代码中，必须要进行，密码次数错误限制。如一个账号一天不允许超过10次密码错误。超过10次。账号进行冻结操作，此账号当天不允许进行登录操作。从而使黑客暴力猜密码无法进行下去。

四、用户凭证  
在传统的用户凭证中，用户登录成功后返回一个**session\_id**存储在**客户端本域cookie**中，服务端通过session\_id找查找对应的信息进而来**识别用户**。session机制必竟是语言封装好的，可定义性比较差。  
所以可以使用**自定义token**,登录成功后返回一个token，存储在**客户端本域storage**，服务端通过传来的token查找对应的信息。我是比较倾向使用reids key value来存储token和对应的用户id。

小例子

<?php 
      //用户输入的密码
      $pwd = "123456";
      //生成的加密 密码字符串，一般是存储到用户表中
      $hash = password_hash($pwd, PASSWORD_DEFAULT);
      //根据用户名查出用户HashPassword 然后 传入用户输入明文密码  判段密码和hash值是否匹配
      if (password_verify($pwd,$hash)) { 
          echo "密码正确";
      } else {  
          echo "密码错误";
      }
    ?>

三、登录安全流程  
首先密码要保证位数最低在8位，最高就看你自己的限制了，我的密码限制在8-40位。  
且不说还有20位左右的特殊字符，就单说字母和数字都有36位，那么  
![在这里插入图片描述][20210217142845391.png]  
我这里是8位就是

36*35*34*33*32*31*30*29
    122   0096908800

兆前面还有3位呢，一兆等于1万亿，想想这个几率。这还是没算上特殊字符的几率。只是数字和小写字母而己。

所以给出登录安全方案  
连续错10次，账户被锁定。要么10天后登录。 要么使用，忘记密码，重设密码。忘记密码发送的验证码最好也要有8位包括字母。且具有 有效期1分钟之内。这样黑客只能在有效期之内进行不可能几率的暴破。有效期之后，验证码字符又变了。

[20210217142845391.png]: /images/20220529/c33e1708b20640d49104638e513d7edc.png