基于 PHP 的应用程序/Web 登录框架？

Question

就目前情况而言，这个问题不太适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、民意调查或扩展讨论。如果您觉得这个问题可以改进并可能重新开放， visit the help center以获得指导。

已关闭 10 年前。

我目前有一个非常简单的基于 PHP 的登录系统，可与 Android、iOS 和 Web 配合使用，但我想使用更安全的系统。我当前的设置只是传递用户名和 md5 格式的密码来针对我的数据库进行身份验证。

有没有人们推荐使用的框架。我听说过使用 PHP 的 oAuth 和 HMAC，但我不确定这些是否对我的需要来说太过分了。

有什么想法吗？

Answer 1

对于初学者来说，MD5 不再被认为是安全的。使用现代硬件进行暴力破解太容易了。

其次，如果您通过网络发送 MD5，并且数据库中有 MD5，那么您实际上是在使用密码的 MD5 作为密码。这意味着您正在通过线路发送未加密的密码。想一想 - 攻击者只需要捕获 MD5 并将其发送回来(如果他们想要入侵) - 您不会从中获得任何实际的安全性。

只需通过 SSL 发送纯文本用户名和密码。将其与合并了 key 的服务器端安全哈希(bcrypt 被认为是当今的主流方式)进行比较。如果您的数据库遭到破坏，这将限制风险。