0

Как лучше и через какие фильтры, как шифровать куки, храня в них пароль, у меня есть при входе функция запоминания пользователя вот ведь мне же нужно записывать его данные т.е Логин пароль...

1 ответ 1

6

Не храните в куках никакой личной информации. Все, что шифруется, может быть дешифровано, потому что где-то должны храниться ключи дешифрации. Если и нужно преобразование в нечитаемую глазу ересь, то это "шифрование" должно быть односторонним, без расшифрования, т.е. - хэшированием.

Вместо того, чтобы каждый раз авторизовывать пользователя (сравнивать пароль и логин), можно авторизовать один раз и запомнить авторизацию, при этом передаваться должен минимум сведений о клиенте. В PHP существует система сессий - хранилищ для пользователя, которая существует поверх кук, когда в куку пишется идентификатор хранилища, а в самом хранилище валяется что угодно - хоть логин, хоть пароль, хоть флаг "пользователь авторизован" (хранилище, понятное дело, расположено на сервере). Так можно решить первую проблему - избежать сохранения логина и пароля в куках, однако сама проблема украденных кук остается. Эта проблема решается за счет хэширования: берется набор уникальных данных о пользователе (айпи, порт(!), строка юзер-агента браузера, айди) и хэшируется каким-нибудь md5, после чего этот хеш записывается в сессию. При каждом обращении пользователя к сайту хэш регенерируется, и, если он не совпадает с тем, что в сессии, пользователь не авторизуется движком.

Сам механизм сессий встроен в PHP, и одна сессия для пользователя будет существовать до закрытия браузера, но некоторые параметры (если не все) могут быть настроены через соответствующие функции и php.ini, в крайнем случае это все довольно легко переписывается для БД.

8
  • Сгласен, в сессионных переменных намного безопаснее держать данные. Но тут есть один неприятный момент. Сессии - нестабильная штука. Она вроде бы закрывается после закрытия браузера (по умолчанию) или по истечению определенного времени (можно задать вручную). Но может на хостинге быть какой-то сбой или глюк и сессия досрочно закрывается и пользователя выбрасывает в самый неподходящий момент.
    – mountpoint
    12 мар 2014 в 21:10
  • @mountpoint вы куки с сессиями путаете (про закрытие браузера)
    – zb'
    12 мар 2014 в 22:10
  • @eicto, эм, я как бы о сессиях говорил =) или мы друг друга не поняли))
    – mountpoint
    12 мар 2014 в 22:28
  • @mountpoint, если сервак ребутнуть, то да, слетят. Но в этом случае обычно пинать (менять) хостера надо.
    – etki
    12 мар 2014 в 22:45
  • @mountpoint, @Fike или просто самому контролировать сессии.. php.net/manual/ru/function.session-set-save-handler.php @mountpoint, ещё раз повторяю - от закрытия браузера могут зависеть только куки.
    – zb'
    12 мар 2014 в 22:56

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.