php - 在 PHP 中存储用户密码以进行 RESTful API 身份验证

Question

我目前正在设计架构，该架构允许我的客户网站与主 RESTful API 通信，该 API 由另一台服务器上的基本身份验证保护，使用跨源 header 。

当用户在其中一个网站上注册时，表单将发布到 PHP 文件，然后创建一个流并将数据发布到主服务器上的 API (两台服务器均受 SSL 保护)。

问题是在这之后出现的。对于 API 的每个请求，我都需要重新提供用户的用户名和密码，以便通过基本身份验证成功地对他们进行身份验证。

我如何安全地存储用户的用户名和密码，以便在用户更改其帐户时我可以继续为客户网站提供 API 访问权限？

在 session 变量中存储加密的用户名和密码是否足够安全？用户会将信用卡号等敏感信息传递给主 API，因此安全是重中之重。

Answer 1

如果你真的真的需要在SESSION中存储用户名和密码。然后使用服务器端 key 加密用户名和密码。

这个服务器端 key 将在您服务器的一个文件中但不在根文件夹中，在根文件夹之外，您可以解密 当您将凭据发送到 API 时。

因此，即使您的 session 被劫持，也不会轻易破解没有服务器端 key 的凭据。

也许你想看看这些链接

Creating a secure REST API

SO - PHP Session Security