基於PHP的應用程序/ Web登錄框架？

Question

我目前有一個非常簡單的基於PHP的登錄系統，可以與android，iOS和web一起工作，但我想用一些更安全的東西。我目前的設置只是傳遞用戶名和密碼以md5格式對我的數據庫進行身份驗證。

有沒有人推薦使用的框架。我聽說過使用PHP的oAuth和HMAC，但我不確定這些是否足以滿足我的需求。

有什麼想法？

Answer 1

對於初學者來說，MD5不再被認爲是安全的。用現代硬件來暴力就太容易了。其次，如果您通過數據庫中的電線&發送MD5，則您有效地使用密碼的MD5作爲密碼。這意味着你通過電線發送未加密的密碼。考慮一下 - 攻擊者只需要捕獲MD5並在需要破解時將其發回即可 - 您從中得不到任何實際的安全保護。

只需通過SSL發送純文本用戶名和密碼。將它與服務器端的安全散列進行比較（bcrypt被認爲是最近的一種方式），它將合併了一個祕密密鑰。這將在數據庫受到威脅時限制風險。