Насколько безопасна моя система входа в систему PHP?

Я новичок в PHP, и это тоже моя первая система входа в систему, поэтому было бы здорово, если бы вы, ребята, могли посмотреть мой код и посмотреть, можете ли вы обнаружить любые дыры в безопасности:

примечание: я дезинфицирую все входные данные пользователя, хотя здесь это не показано.

• Можно ли скрыть / закодировать / зашифровать исходный код php и позволить другим пользователям иметь систему?
• Расшифровка параметров Codeigniter
• Шифрование: использование вектора инициализации против ключа?
• Что такое .NET-эквивалент функции PHP hash_hmac ()
• Возможно ли иметь шифрование с несколькими закрытыми ключами (PHP)?

Зарегистрироваться:

Шаг 1: Я беру пароль, который пользователь выбрал, и запустил его через эту функцию:

encrypt($user_chosen_password, $salt); function encrypt($plain_text, $salt) { if(!$salt) { $salt = uniqid(rand(0, 1000000)); } return array( 'hash' => $salt.hash('sha512', $salt.$plain_text), 'salt' => $salt ); } 

Шаг 2. Затем я сохраняю хэш и соль ( $password['hash'] и $password['salt'] ) в таблице users в базе данных:

 id | username | password | salt | unrelated info... ----------------------------------------------------------- 1 | bobby | 809a28377 | 809a28377f | ... fd131e5934 180dc24e15 bbe5f8be77 371623ce36 4d5b851e46 

Авторизоваться:

Шаг 1: Я беру имя пользователя, введенное пользователем, и просматриваю базу данных, чтобы узнать, возвращены ли какие-либо строки. На моем сайте нет 2 пользователей, которые могут использовать одно и то же имя пользователя, поэтому поле имени пользователя всегда имеет уникальное значение. Если я получу 1 строку, я возьму соль для этого пользователя.

Шаг 2. Затем я запустил введенный пользователем пароль через функцию шифрования (как ранее было выше), но на этот раз я также предоставил соль, полученную из базы данных:

 encrypt($user_entered_password, $salt); 

Шаг 3: теперь у меня есть правильный пароль для сопоставления в этой переменной: $password['hash'] . Поэтому я так второй раз просмотрел базу данных, чтобы увидеть, введенное ли имя пользователя и хешированный пароль вместе возвращают одну строку. Если это так, то учетные данные пользователя верны.

Шаг 4: Чтобы зарегистрировать пользователя после прохождения своих учетных данных, я генерирую случайную уникальную строку и хеширую ее:

 $random_string = uniqid(rand(0, 1000000)); $session_key = hash('sha512', $random_string); 

Затем я вставляю $session_key в таблицу active_sessions в базе данных:

 user_id | key ------------------------------------------------------------ 1 | 431b5f80879068b304db1880d8b1fa7805c63dde5d3dd05a5b 

Шаг 5:

Я беру незашифрованную уникальную строку, сгенерированную на последнем шаге ( $random_string ), и устанавливаю ее как значение cookie, которое я вызываю active_session :

 setcookie('active_session', $random_string, time()+3600*48, '/'); 

Шаг 6:

В верхней части моего header.php есть эта проверка:

 if(isset($_COOKIE['active_session']) && !isset($_SESSION['userinfo'])) { get_userinfo(); } 

Функция get_userinfo() выполняет поиск в таблице users в базе данных и возвращает ассоциативный массив, который хранится в сеансе с именем userinfo :

// сначала эта функция принимает значение файла cookie active_session и хеширует его для получения session_key:

 hash('sha512', $random_string); 

// затем он выполняет поиск в таблице active_sessions чтобы увидеть, существует ли запись этого key , если это позволит захватить user_id связанную с этой записью, и использовать ее для второго поиска в таблице users чтобы получить userinfo :

  $_SESSION['userinfo'] = array( 'user_id' => $row->user_id, 'username' => $row->username, 'dob' => $row->dob, 'country' => $row->country, 'city' => $row->city, 'zip' => $row->zip, 'email' => $row->email, 'avatar' => $row->avatar, 'account_status' => $row->account_status, 'timestamp' => $row->timestamp, ); 

Если сеанс userinfo существует, я знаю, что пользователь аутентифицирован. Если он не существует, но cookie active_session существует, тогда эта проверка в верхней части файла header.php создаст этот сеанс.

Причина, по которой я использую cookie, а не сеансы в одиночку, – это сохранить регистрацию. Поэтому, если пользователь закрывает браузер, сеанс может исчезнуть, но файл cookie все равно будет существовать. И так как есть проверка в верхней части header.php , сессия будет воссоздана, и пользователь может нормально функционировать как зарегистрированный пользователь.

Выйти:

Шаг 1: И сеанс userinfo и active_session cookie active_session не установлены.

Шаг 2: Связанная запись из таблицы active_sessions в базе данных удаляется.

Примечания. Единственная проблема, которую я вижу (и, возможно, многие другие), заключается в том, что пользователь подделывает этот active_session cookie active_session , создавая его самостоятельно в своем браузере. Конечно, они должны установить в качестве значения этого файла cookie строку, которая после ее зашифрования должна соответствовать записи в таблице active_sessions откуда я буду извлекать user_id для создания этого сеанса. Я не уверен, какие шансы на это реалистично, для пользователя (возможно, с использованием автоматизированной программы), чтобы угадать строку, которую они не знают, будет тогда зашифрована sha512 и сопоставлена ​​с строкой в ​​таблице active_sessions в базе данных чтобы получить идентификатор пользователя для создания этого сеанса.

Извините за большое эссе, но так как это такая важная часть моего сайта, и из-за моей неопытности я просто хотел запустить ее более опытными разработчиками, чтобы убедиться, что это действительно безопасно.

Итак, вы видите дыры в безопасности на этом маршруте и как его можно улучшить?

 function encrypt($plain_text, $salt) { if(!$salt) { $salt = uniqid(rand(0, 1000000)); } return array( 'hash' => $salt.hash('sha512', $salt.$plain_text), 'salt' => $salt ); }