php - 我应该如何将用户的 LDAP 密码存储在 cookie 中？

Question

所以我有这个黑盒身份验证方法，是帐户人员传给我的，基本上相当于 ldap_bind($connection, $username, $password)。但当然，我希望我的用户能够一次登录，比如 30 天。

处理此问题的天真但不安全的方法是将用户名和密码存储在纯文本 cookie 中，然后在每次用户访问时使用我的黑匣子验证这些。

通常有效但由于我的黑匣子而无效的方法是将用户密码存储在数据库中(或将其哈希存储？)，并将哈希版本存储在 cookie 中，然后比较值。这在这里不起作用，因为我的黑匣子需要实际密码，而不是散列密码。

我目前的想法是某种加密(而不是散列)。但由于这显然是一个常见问题，我想我最好先四处询问，看看是否有更好的解决方案，如果没有，您对加密/解密方法有何建议。

Answer 1

这不会真正回答你的问题，但你不应该存储你的用户密码，甚至不加密。

如果您真的必须这样做，并且用户理解您正在这样做。然后将密码存储在您的应用程序的数据库中(当然是加密的)，然后向用户发送带有哈希的 cookie。当用户想要登录时，将哈希值与您存储的内容进行比较，然后才将未加密的密码发送到 ldap。永远不要将密码(甚至没有加密)发送到用户的机器。

同样，这是一种非常糟糕的做法。如果 ldap 不允许您存储 session /密码，那么这可能是一个很好的理由。