Вопрос:

Как бы вы внедрили аутентификацию на основе FORM без резервной базы данных?

php http authentication cookies cgi

3255 просмотра

4 ответа

45654 Репутация автора

У меня есть PHP-скрипт, который запускается как CGI-программа, а HTTP- Authenticateзаголовок съедается и выплевывается. Поэтому я хотел бы реализовать некоторую аутентификацию на основе ФОРМ. В качестве дополнительного ограничения база данных отсутствует, поэтому данные сеанса не могут быть сохранены.

Я очень открыт, чтобы иметь мастер имя пользователя и пароль. Мне просто нужно защитить приложение от злоумышленника, который не знает эти учетные данные.

Так как бы вы это реализовали?

Печенье?

Я мог бы представить форму, и если она будет подтверждена, я могу отправить обратно cookie, который является хешем IP-адреса и секретным кодом. Тогда я могу предотвратить рендеринг страниц, если вещь не расшифровывается правильно. Но я понятия не имею, как реализовать это в PHP.

Автор: Frank Krueger Источник Размещён: 20.08.2008 03:27

Ответы (4)


5 плюса

17210 Репутация автора

Решение

Несколько способов сделать это.

  1. htaccess - ваш веб-сервер обрабатывает защищенные страницы (хотя не совсем на основе cgi-формы).
  2. Используйте куки-файлы и какой-то алгоритм хеширования (достаточно md5) для хранения паролей в плоском файле, где каждая строка в файле имеет имя пользователя: passwordhash. Обязательно засолите свои хэши для дополнительной безопасности против радужных таблиц. (Этот метод немного наивен ... будьте очень осторожны с безопасностью, если вы идете по этому пути)
  3. использовать что-то вроде базы данных sqlite только для обработки аутентификации. Sqlite достаточно компактен и прост, чтобы он мог удовлетворить ваши потребности, даже если вы не хотите иметь большой бд-бэнд.

Теоретически, вы также можете хранить данные сеанса в плоском файле, даже если у вас нет базы данных.

Автор: Justin Standard Размещён: 20.08.2008 04:37

-1 плюса

9159 Репутация автора

... Что касается соли, добавьте имя пользователя в свою хеш-соль, чтобы кто-то, кто знает вашу соль и имеет доступ к вашему файлу паролей, не мог написать радужную таблицу и взломать пароль ваших пользователей.

Автор: fulmicoton Размещён: 20.08.2008 04:44

1 плюс

37624 Репутация автора

Если вы используете Authenticate, возможно, у вас уже есть файл htpasswd . Если вы хотите продолжить использовать этот файл, но переключиться на использование аутентификации на основе FORM, а не через заголовок Authenticate, вы можете использовать PHP-скрипт, чтобы использовать тот же файл htpasswd и использовать сеансы для поддержания статуса аутентификации.

Быстрый поиск в Google по php htpasswd показывает [Link is dead] с функцией PHP для проверки учетных данных по htpasswd. Вы можете интегрировать его (при условии, что у вас есть сеансы, настроенные на автозапуск) с таким кодом:

// At the top of your 'private' page(s):
if($_SESSION['authenticated'] !== TRUE) {
    header('Location: /login.php');
    die();
}

// the target of the POST form from login.php
if(http_authenticate($_POST['username'], $_POST['password']))
    $_SESSION['authenticated'] = TRUE;
Автор: John Douthat Размещён: 28.08.2008 08:54

1 плюс

104372 Репутация автора

Вам действительно нужна форма? Независимо от того, что вы делаете, вы ограничены тем, что имя пользователя и пароль известны. Если они знают это, они получают ваше волшебное печенье, которое позволяет им. Вы хотите запретить им видеть страницы, если они не знают секрета, и базовая авторизация делает это, проста в настройке и не требует большой работы с вашей стороны.

Вы действительно должны видеть заголовок авторизации, если веб-сервер позаботится о контроле доступа за вас?

Кроме того, если вы предоставляете приложение известному списку людей (а не общественности), вы можете предоставить доступ на основе веб-сервера по другим факторам, таким как входящий IP-адрес, клиентские сертификаты и многое другое, что вопрос конфигурации, а не программирования. Если вы объяснили свои ограничения безопасности, мы могли бы предложить лучшее решение.

Удачи, :)

Автор: brian d foy Размещён: 20.09.2008 09:44
Вопросы из категории :
32x32