身份驗證過程，爲什麼在數據庫中存儲sessionID？

Question

我有一個關於認證的正常過程的問題。

我google有很多，看了很多，但是仍然不能很清楚的認證過程， 實際上sessionID是什麼？ 爲什麼我們將sessionID存儲在數據庫中，因爲我認爲會話ID有時會過期。爲什麼我們仍然需要存儲它們？ 如果我將OAuth用於android應用程序或桌面應用程序，該怎麼辦？

更多的解釋：

1. 例如，我用表格的用戶登錄發送「username」的和「密碼」，然後我用MD5（$密碼），然後發送給所有的人。到服務器URI，是嗎？

2. 然後Server獲取userName和passWord，然後將passWord與數據庫中的passWord進行比較，如果相同，則正確。服務器將SessionId發回給用戶，cookie將被設置。這個過程是否正確？

3. 如果是正確的，服務器會將sessionID存儲在數據庫中，但sessionId會過期一段時間，爲什麼我們將會話ID存儲在數據庫中？

Answer 1

1. 當你正在處理安全數據，你應該使用SSL（HTTPS）。對密碼做MD5是毫無意義的。如果我抓住了交通，我可以用蠻力和/或彩虹桌un-MD5。 MD5不是爲了安全。它用於識別具有更小數據塊的大塊數據。

2. 您不應將密碼存儲在數據庫中。您應該在數據庫中存儲密碼的醃製散列。然後，用戶發送密碼並散列，並查看它是否與數據庫中的內容匹配。再次，不要使用MD5。使用更好的（更長的）散列 - 並確保它是鹽漬的。

3. 服務器需要知道哪些會話已打開並正在使用。所以，它必須存儲它們。您不需要存儲會話ID。服務器呢。會話過期時，服務器將刪除會話。

Answer 2

例如，我用表格中登錄。用戶發送「username」的和「密碼」，然後我用MD5（$密碼），然後送他們全部服務器URI，是那對嗎？

不是。 Md5是一個弱散列算法，還有其他更安全的算法。除此之外，你生產的散列應該不僅僅是

hash('whatever_algorithm', $password) 

有喜歡PHPass庫和功能，如password_hash這將有助於你更加複雜。

作爲協議，您應該使用SSL並參考https。

然後Server獲取userName和passWord，然後將passWord與數據庫中的passWord進行比較，如果相同，則正確。服務器將SessionId發回給用戶，cookie將被設置。這個過程是否正確？

的過程是錯誤的，因爲你不應該保持清醒的證書數據庫中數據的，它的憑據散列應存儲，你應該嘗試使用用戶提供的用戶名+密碼複製它。 哈希是一種不對稱算法：它只能用一種方法。

您可以通過在遵循特定預期輸入/輸出交換的會話上添加一些驗證步驟來加強安全性。

如果是正確的，服務器會將sessionID存儲在數據庫中，但sessionId會過期一段時間，爲什麼我們將會話ID存儲在數據庫中？

您存儲會話ID時，它仍然活着（不超時），因此用戶仍然可以連接，無需重新驗證。 當會話返回錯誤代碼時，您將其ID保存在數據庫中，以便對相關信息進行跟蹤並能夠生成日誌。 可以，例如：

• 在會話表中添加客戶端的IP，所以你可以跟蹤WHO。
• 加error_codes鏈接到您的會話，以便您可以跟蹤什麼
• 添加一個日期表中看到WHEN

如果在會話過程中發生錯誤，則可能需要知道原因（有人試圖繞過您的會話安全或您實施會話時發生的錯誤）。