php - 如何在 PHP 中生成唯一的不可猜测的激活链接

Question

我整天都在阅读有关该主题的文章，但不确定如何继续。

我有一个 MySQL 用户表，其主键为 UUID_SHORT() 值和一个电子邮件字段，这也是唯一的。我需要能够生成一个始终唯一、不可猜测的 ID 以在激活 URL 中使用。像这样:

http://example.com/activate.php?id=tKd32f

看完这道题:How to code a URL shortener?

我已经实现了一个 base58 编码方法，我试图将其与代表用户的 UUID_SHORT() 值一起使用，由 MySQL 服务器生成。

<?php
function base58_encode($num, $alphabet) 
{                           
    $base_count = strlen($alphabet);
    $alphabet =  str_split($alphabet);
    echo "base_count: " . $base_count . "<br>";
    $encoded = '';
    while ($num >= $base_count) 
    {
        $div = $num/$base_count;
        echo "div: " . $div . "<br>";
        $mod = ($num-($base_count*intval($div)));
        echo "mod: " . $mod . "<br>";
        echo "alphabet[$mod]: " . $alphabet[$mod] . "<br>";                             
        $encoded = $alphabet[$mod] . $encoded;
        echo "encoded: " . $encoded . "<br>";
        $num = intval($div);
        echo "num: " . $num . "<br>";
        echo "------------------------------<br>";
    }

    if ($num) $encoded = $alphabet[$num] . $encoded;

    return $encoded;
}

$alphabet = "123456789abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ";
echo "WORKS => " . base58_encode(3707787591, $alphabet) . "<br><br>"; // some random number
echo "DOES NOT WORK => " . base58_encode(23298059492392988, $alphabet); // one of the unique IDs in my database
?>

如果我使用 10 位数字，就可以了。但是如果我使用更长的 UUID_SHORT 值，我会得到一个 undefined offset 错误，因为 $num = intval($div) 在它的参数太大时返回一个负数。我似乎想不通为什么，但似乎与:http://ca1.php.net/intval有关

我的问题:

1. 这是正确的方法吗？我应该使用 UUID_SHORT 值来生成激活码还是太容易猜测了？如果我在 MySQL 服务器上多次执行 SELECT UUID_SHORT()，您会看到此值递增 1(这让我很担心)。

2. 如果这个 base58_encode 是正确的方法，我将如何解决这个错误？我怎样才能获得更短的激活码，这与 goo.gl 的 url 缩短服务不同。他们是如何做到的呢？对此我找不到明确的答案。

3. 我应该使用更多类似的东西吗？ How to generate a secure activation string in php?但是，这会生成一个非常长的 ID。就我而言，这并不是必需的，它会导致激活 URL 更难看。

我计划在一段时间后使我的 URL 过期，但 ID 需要始终是唯一的(理想情况下，足够短)。我也不需要稍后解码该值，因为我会将唯一生成的 ID 映射到数据库中的用户 ID。这里最好的方法是什么？

感谢您的宝贵时间。

Answer 1

这里有一个建议:

制作表单的 URL

www.example.com/?code=XXXXX-YYYYY-ZZZZZ

在哪里

• XXXXX 是您数据库中客户的唯一标识符

• YYYYY 是种子的小数部分，种子的另一部分根据 XXXXX 存储在数据库中(YYYYY 未存储)

• ZZZZZ 是 XXXXXX 的 sha512 散列的随机段和存储在数据库中的段的起点和终点的完整种子。

• 作为数据库中用于身份验证的最后一个字段(这是计算标识符的第 5 个字段)，有一个用于使链接过期的时间戳。

示例:

请求 URL。

uniqid() 被调用并分配给 XXXXX(即 13 个字符)

让种子成为另一个 uniqid("", true) 的 sha512 散列，并选择前 5 个字符作为 YYYYY，将其余部分分配给数据库。

令 ZZZZZ 为 hash("sha512", SEED . XXXXX) 的第 8-15 个字符，将 8 和 15 存储在数据库中。 (8 和 15 是随机选择的，ofc。)

将时间存储在数据库中。

通过电子邮件发送结果 URL。

讨论:

由于 XXXXX 是使用 uniqid() 和一个黑客很难猜到的点创建的，因此它轻微安全，但几乎 100% 唯一。

由于种子未完全存储，但验证 ZZZZZ 是必需的，因此实现了更高的安全性，尽管因为只存储了子字符串，与使用更长的身份验证方案相比，可能更容易产生冲突。

这 5 个存储元素构成了一种 key ，能够通过不容易逆转的多步骤过程来验证用户，因此了解该方法对破解方案没有多大帮助(如果有的话)。

假定在链接失效之前只允许进行少量有限的猜测。

这不是 100% 安全 -- 任何依赖于点击一个简单链接(其中链接包含验证所需的一切)的东西都不会是完全安全的，但这会让它相当具有挑战性黑客在允许的时间内实现黑客攻击(取决于您允许链接有效的时间)。

希望对您有所帮助!