PHP 和 MySQL $_POST 安全和 md5() 散列函数

Question

我正在创建一个信息系统来处理财务信息、联系人等。我正在使用面向对象的编程(类、函数等)从头开始开发网站。大部分数据将来自 MySQL 数据库。用户将能够获取数据并将其提交到数据库。

我已经在使用散列函数来加密数据，例如密码、序列号。我还对进入数据库的所有其他数据使用 preg_replace() 函数。

我需要采取哪些其他安全措施来确保从数据库提交和获取数据不会危及安全性？

Answer 1

md5 是 cryptographic hash function 。一旦散列，它不能被“取消散列”回到原始值(单向)而不是 encryption这是双向的(加密-解密)。

为了您的数据安全，考虑这些场景和预防方法而不仅仅是加密:

• cross-site request forgeries (CRSF) - 防止使用表单标记

• SSL connection (“httpS://”)以防止传输中的数据拦截

• hash salting进一步保护(但不是完全)散列密码免受字典攻击。弱密码和普通密码是这种情况下的目标。

• 散列不是绝对的。散列中字母和数字的组合数量是有限制的。在某些时候，截然不同的字符串可能具有相同的哈希值。这被称为 collision

• 哈希容易受到暴力/字典攻击。尽管哈希是一种方式，但可以创建一个字符串哈希字典，匹配哈希并找出其背后的字符串。

• cross-site scripting (XSS)，其中可能包括(但不限于)cookie 窃取、点击劫持等。

• SQL injection - 在表单未清理时欺骗 SQL 的方法

• 消耗品 session ids跟踪用户 session - 它应该在给定的时间内过期，因此有一个自动注销机制。

• 确定您的用户!用户 ip 地址、浏览器检测等来分析您的用户。任何奇怪的数据(如 IP、位置等的突然变化)都应在一定的阈值内考虑。 (facebook 有这个功能。我曾经使用代理访问我的 facebook - 自动锁定)