php - 我应该在 PHP 中使用什么进行用户身份验证？

Question

我正在考虑编写自己的身份验证脚本，但我对安全性了解不多。

从我读过的文章来看，它似乎通常涉及用盐对密码进行哈希处理并将其存储在数据库中。然后当用户请求登录时，密码被散列并与数据库进行比较。如果匹配，则用户的数据存储在 $_SESSION 中。

但是，我不知道这是否安全。我阅读了一些关于在数据库中存储 session key 的内容，但我不确定它是如何工作的，或者如何实现它。

有人可以解释如何实现安全身份验证吗？

此外，是否有任何关于 PHP 身份验证库的建议，我可以合并这些库，这些库易于学习而不是自己编写？

Answer 1

检查 this answer here .

虽然答案是 3 岁，但建议 phpass库是最新的。

另外，+1 给 Aron Cederholm。密码安全是一个广泛的主题，您应该首先查看已在 StackOverflow 上讨论过的相关问题，以便您更加熟悉该主题和安全方面的最佳实践。

虽然我喜欢框架(Symfony、Zend 等)，因为它们通常会实现这些良好实践，但仅仅使用它们并不能使你成为一名优秀的程序员。你必须了解它的内部运作。我总是向埋头编写自己的安全身份验证机制的程序员致敬(只要他们不在真正需要强大安全性的实时站点中实现它)，因为这是学习和理解主题内部的最佳方式。始终从现有的实现开始，然后将其用作创建您自己的代码库的示例。