0

Как лучше и через какие фильтры, как шифровать куки, храня в них пароль, у меня есть при входе функция запоминания пользователя вот ведь мне же нужно записывать его данные т.е Логин пароль...

1 ответ 1

6

Не храните в куках никакой личной информации. Все, что шифруется, может быть дешифровано, потому что где-то должны храниться ключи дешифрации. Если и нужно преобразование в нечитаемую глазу ересь, то это "шифрование" должно быть односторонним, без расшифрования, т.е. - хэшированием.

Вместо того, чтобы каждый раз авторизовывать пользователя (сравнивать пароль и логин), можно авторизовать один раз и запомнить авторизацию, при этом передаваться должен минимум сведений о клиенте. В PHP существует система сессий - хранилищ для пользователя, которая существует поверх кук, когда в куку пишется идентификатор хранилища, а в самом хранилище валяется что угодно - хоть логин, хоть пароль, хоть флаг "пользователь авторизован" (хранилище, понятное дело, расположено на сервере). Так можно решить первую проблему - избежать сохранения логина и пароля в куках, однако сама проблема украденных кук остается. Эта проблема решается за счет хэширования: берется набор уникальных данных о пользователе (айпи, порт(!), строка юзер-агента браузера, айди) и хэшируется каким-нибудь md5, после чего этот хеш записывается в сессию. При каждом обращении пользователя к сайту хэш регенерируется, и, если он не совпадает с тем, что в сессии, пользователь не авторизуется движком.

Сам механизм сессий встроен в PHP, и одна сессия для пользователя будет существовать до закрытия браузера, но некоторые параметры (если не все) могут быть настроены через соответствующие функции и php.ini, в крайнем случае это все довольно легко переписывается для БД.

8
  • 1
    Сгласен, в сессионных переменных намного безопаснее держать данные. Но тут есть один неприятный момент. Сессии - нестабильная штука. Она вроде бы закрывается после закрытия браузера (по умолчанию) или по истечению определенного времени (можно задать вручную). Но может на хостинге быть какой-то сбой или глюк и сессия досрочно закрывается и пользователя выбрасывает в самый неподходящий момент.
    – mountpoint
    12 мар 2014 в 21:10
  • @mountpoint вы куки с сессиями путаете (про закрытие браузера)
    – zb'
    12 мар 2014 в 22:10
  • @eicto, эм, я как бы о сессиях говорил =) или мы друг друга не поняли))
    – mountpoint
    12 мар 2014 в 22:28
  • @mountpoint, если сервак ребутнуть, то да, слетят. Но в этом случае обычно пинать (менять) хостера надо.
    – etki
    12 мар 2014 в 22:45
  • @mountpoint, @Fike или просто самому контролировать сессии.. php.net/manual/ru/function.session-set-save-handler.php @mountpoint, ещё раз повторяю - от закрытия браузера могут зависеть только куки.
    – zb'
    12 мар 2014 в 22:56

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.