php - 在 PHP 中进行身份验证的最佳方式

Question

以模型- View - Controller 方式编写身份验证库时，最好和最安全的方法是什么？

让我感到困难的事情是跟踪用户事件并通过 cookie 记住用户或在数据库中存储 session ？

提前致谢:)。

Answer 1

如果你想使用 session ，你已经保护它们免受像 session fixation 这样的攻击。 和 session hijacking .

为了防止这两种情况，您必须确保只有经过身份验证的请求才被允许使用 session 。这通常是通过将尽可能多的有关客户端的特定(可能是唯一的)信息与 session 链接起来来完成的。但是由于某些信息可能会在每次请求时发生变化(例如 IP 地址)，因此很难找到合适的信息。
这就是为什么使用表示为 Trending 的方法很有用的原因。 .

另一个很好的保护措施是定期交换 session ID。因此，对有效 session ID 的攻击周期更短。