本文实例讲述了php用户登录之cookie信息安全。分享给大家供大家参考,具体如下:
大家都知道用户登陆后,用户信息一般会选择保存在cookie里面,因为cookie是保存客户端,并且cookie可以在客户端用浏览器*更改,这样将会造成用户cookie存在伪造的危险,从而可能使伪造cookie者登录任意用户的账户。
下面就说说平常一些防止用户登录cookie信息安全的方法:
一、cookie信息加密法
cookie信息加密法即用一种加密方法,加密用户信息,然后在存入cookie,这样伪造者即使得到cookie也只能在cookie有效期内对这个cookie利用,无法另外伪造cookie信息。
这里附上一个加密函数:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
|
<?php
function authcode( $string , $operation = 'DECODE' , $key = '' , $expiry = 0) {
// 动态密匙长度,相同的明文会生成不同密文就是依靠动态密匙
$ckey_length = 4;
// 密匙
$key = md5( $key ? $key : $GLOBALS [ 'discuz_auth_key' ]);
// 密匙a会参与加解密
$keya = md5( substr ( $key , 0, 16));
// 密匙b会用来做数据完整性验证
$keyb = md5( substr ( $key , 16, 16));
// 密匙c用于变化生成的密文
$keyc = $ckey_length ? ( $operation == 'DECODE' ? substr ( $string , 0, $ckey_length ):
substr (md5(microtime()), - $ckey_length )) : '' ;
// 参与运算的密匙
$cryptkey = $keya .md5( $keya . $keyc );
$key_length = strlen ( $cryptkey );
// 明文,前10位用来保存时间戳,解密时验证数据有效性,10到26位用来保存$keyb(密匙b),
//解密时会通过这个密匙验证数据完整性
// 如果是解码的话,会从第$ckey_length位开始,因为密文前$ckey_length位保存 动态密匙,以保证解密正确
$string = $operation == 'DECODE' ? base64_decode ( substr ( $string , $ckey_length )) :
sprintf( '%010d' , $expiry ? $expiry + time() : 0). substr (md5( $string . $keyb ), 0, 16). $string ;
$string_length = strlen ( $string );
$result = '' ;
$box = range(0, 255);
$rndkey = array ();
// 产生密匙簿
for ( $i = 0; $i <= 255; $i ++) {
$rndkey [ $i ] = ord( $cryptkey [ $i % $key_length ]);
}
// 用固定的算法,打乱密匙簿,增加随机性,好像很复杂,实际上对并不会增加密文的强度
for ( $j = $i = 0; $i < 256; $i ++) {
$j = ( $j + $box [ $i ] + $rndkey [ $i ]) % 256;
$tmp = $box [ $i ];
$box [ $i ] = $box [ $j ];
$box [ $j ] = $tmp ;
}
// 核心加解密部分
for ( $a = $j = $i = 0; $i < $string_length ; $i ++) {
$a = ( $a + 1) % 256;
$j = ( $j + $box [ $a ]) % 256;
$tmp = $box [ $a ];
$box [ $a ] = $box [ $j ];
$box [ $j ] = $tmp ;
// 从密匙簿得出密匙进行异或,再转成字符
$result .= chr (ord( $string [ $i ]) ^ ( $box [( $box [ $a ] + $box [ $j ]) % 256]));
}
if ( $operation == 'DECODE' ) {
// 验证数据有效性,请看未加密明文的格式
if (( substr ( $result , 0, 10) == 0 || substr ( $result , 0, 10) - time() --> 0) &&
substr ( $result , 10, 16) == substr (md5( substr ( $result , 26). $keyb ), 0, 16)) {
return substr ( $result , 26);
} else {
return '' ;
}
} else {
// 把动态密匙保存在密文里,这也是为什么同样的明文,生产不同密文后能解密的原因
// 因为加密后的密文可能是一些特殊字符,复制过程可能会丢失,所以用base64编码
return $keyc . str_replace ( '=' , '' , base64_encode ( $result ));
}
}
$str = 'abcdef' ;
$key = 'www.zzvips.com' ;
echo $jm = authcode( $str , 'ENCODE' , $key ,0); //加密
echo "
";
echo authcode( $jm , 'DECODE' , $key ,0); //解密
?>
|
这样当设置用户信息的cookie时,就无法对其进行伪造:
1
2
3
4
5
6
|
<?php
$user = array ( "uid" =--> $uid , "username" => $username );
$user = base64_encode (serialize( $user ));
$user = authcode( $user , 'ENCODE' , 'www.zzvips.com' ,0); //加密
setcookie( "user" , $user ,time()+3600*24);
?>
|
二、用加密令牌对cookie进行保护
1
2
3
4
5
|
$hash = md5( $uid .time()); //加密令牌值
$hash_expire =time()+3600*24; //加密令牌值为一天有效期
$user = array ( "uid" => $uid , "username" => $username , "hash" => $hash );
$user = base64_encode (serialize( $user ));
setcookie( "user" , $user , $hash_expr );
|
然后把$hash和$hash_expire 存入member表中hash和hash_expire对应字段中,也可以存入nosql,session
用户伪造cookie时,hash无法伪造,伪造的hash和数据库中的不一致
用户每次登陆,这个hash_expire有效期内不更新hash值,过期则更新
希望本文所述对大家PHP程序设计有所帮助。