PHP登錄系統 - 我做對了嗎？

Question

我對這個東西很陌生，但這是我的登錄授權頁面。

function encrypt($password, $salt) { 
    return base64_encode(mcrypt_encrypt(MCRYPT_RIJNDAEL_256, md5($salt), $password, MCRYPT_MODE_CBC, md5(md5($salt)))); 
} 

$query = "SELECT * FROM users WHERE LOWER(`username`) = :user"; 
$stmt = $dbh->prepare($query); 
$stmt->bindValue(':user', strtolower($_POST['username'])); 
$stmt->execute(); 

if ($stmt->rowCount() == 1) { 
    $row = $stmt->fetch(PDO::FETCH_ASSOC); 
    if (encrypt($_POST['password'], $row['salt']) == $row['password']) { 
     echo "Logged in!"; 
    } 
} 

在我的數據庫，我有列username，password和salt。密碼列包含加密的密碼。

我的工作流程在這裏正確嗎？

Answer 1

你不應該加密密碼。如果有人能夠檢索您的用戶表，他可以輕易地扭轉所有密碼：

$password = mcrypt_decrypt(MCRYPT_RIJNDAEL_256, md5($salt), base64_decode($row['password']), MCRYPT_MODE_CBC, md5(md5($salt))); 

更好地利用一個hash function that is specifically designed for hashing passwords。