沒有最大限制的密碼。如何處理它的服務器端？

Question

我的表單中沒有最大長度限制的密碼字段。

使用PHPass框架將密碼存入數據庫。

我讀過一些地方，通過像沒有最大限制的字段的大數據條目可以做一個網站。

所以我的問題是：

• 我應該如何處理在服務器端（與PHP）大密碼數據條目？

Answer 1

容易：

要麼

添加長度限制即高但不危險的高 - 例如128個字符超過最真實的人將永遠使用但添加的上訴程序，即一個鏈接，只要點擊即可從一個人的請求特定的例外，

OR

有一個JavaScript元素計算哈希客戶端並僅提交哈希 - 無論如何，這對安全性更好，因爲密碼永遠不會離開客戶端。

Answer 2

如果您正在尋找保護自己免受DoS攻擊，你將不得不使用：
-MAX大小後 - http://www.php.net/manual/en/ini.core.php#ini.post-max-size

這允許您控制多少POST數據將被PHP服務器接受，請注意，因爲這也控制瞭如果您的表單正在上傳文件，文件大小如何。

Answer 3

攻擊者總是可以向服務器發送大數據，無論是密碼字段還是其他字段，都無法通過HTML或JavaScript阻止此客戶端。你可以做的是在發送大量輸入時停止在服務器端工作，儘管這個限制應該非常高。

請記住，對於像BCrypt這樣的迭代散列函數，只有第一個計算有更多的數據可以使用，其他迭代使用前一個散列。在我看來，沒有理由將密碼限制在1KB以內。