如何保护我的登录页面

Question

我有一个login.html网页，允许用户输入用户名和密码。当他单击“提交”时，我将使用Javascript收集输入的值，然后对php文件进行Ajax
POST调用，然后发送用户名和密码。

我在这里担心的是，这是发送用户名和密码的安全方法吗？如果不是，我如何确保从后端将数据从html文件发送到php的交易的安全性？

php文件然后连接到MySql
Db并检查用户是否退出以及密码是否正确（如果是），它只是将有效文本发送回javascript函数的ajax调用（如果不是），那么我确定它是无效用户？

我对这种逻辑不太满意？有没有更好的方法来执行此过程？由于我要将代码投入生产，因此我想尽可能地保护它。

下面的代码工作正常，我只需要提示以保护它即可。

login.html

<div>
    <h3>Login information</h3>

    <input type="text" name="user" id="usrnm" placeholder="Username/Email">
    <input type="password" name="pswdlogin" id="pswdlogin" placeholder="Password">
    <input type="checkbox" name="keepmeloggedin" id="keepmeloggedin" value="1" data-mini="true">
    <input type="submit" data-inline="false" onclick="logmein()" value="Log in">
    <div id="loginstatus">    </div>
 </div>

logmein.js

function logmein() {

  var usrnm = document.getElementById("usrnm").value;
  var pswdlogin = document.getElementById("pswdlogin").value;

  $.post("http://xyz/mobile/php/logmein.php",
    {
      usrnm: usrnm,
      pswdlogin: pswdlogin
    },
    function(data, status) {

      if (data == 'Valid') {

        window.open("http://xyz/mobile/home.html?email=" + usrnm + "", "_parent");

      } else {
        alert(data);
        document.getElementById("loginstatus").innerHTML = data;
      }
    });
}

logmein.php

<?php

$usrnm_original = $_POST['usrnm'];
$pswdlogin_original = $_POST['pswdlogin'];

$con = mysqli_connect("localhost", "cSDEqLj", "4GFU7vT", "dbname", "3306");

if (mysqli_connect_errno())
    {
    echo "Failed to connect to MySQL: " . mysqli_connect_error();
    }

mysqli_select_db($con, "dbname");
$usrnm = mysqli_real_escape_string($con, $usrnm_original);
$pswdlogin = mysqli_real_escape_string($con, $pswdlogin_original);

$result = mysqli_query($con, "SELECT * FROM registration WHERE email = '" . $usrnm . "' AND password='" . $pswdlogin . "' ");
$rows = mysqli_num_rows($result);

if ($rows == 1)
    {
    echo "Valid";
    }
  else
    {
    echo "In Valid Credentials Entered";
    }

mysqli_close($con);
?>

Answer 1

这确实属于codereview.stackexchange.com，但无论如何我都会试一试。

首先，我将向您的表单添加一个csrf令牌以阻止这些类型的攻击。

//the most simple type of csrf token
if (!isset($_SESSION['token'])):
    $token = md5(uniqid(rand(), TRUE));
    $_SESSION['token'] = $token;
else:
    $token = $_SESSION['token'];
endif;

然后在您的表单中，包含一个隐藏的输入字段：

<input type="hidden" name="token" id="token" value="<?php echo $token; ?>"/>

然后在您的ajax中添加令牌。

var usrnm = $('#usrnm').val();
var pswdlogin = $('#pswdlogin').val();
var token = $('#token').val();

{
    usrnm: usrnm,
    pswdlogin: pswdlogin,
    token: token
}

然后在您的php中，让我们直接停止访问该页面时发生的未定义索引错误。

$usrnm_original = isset($_POST['usrnm'])?$_POST['usrnm']:false;
$pswdlogin_original = isset($_POST['pswdlogin'])?$_POST['pswdlogin']:false;
$token = isset($_POST['token'])$_POST['token']:false;

然后，我们需要检查传递的令牌是否与我们的令牌相同

if(!$_SESSION['token'] == $token):
    die('CSRF Attacks are not allowed.');
endif;

然后mysqli_query，即使接受mysqli_real_escape_string和使用prepared语句进行了消毒，我们也需要在接受用户数据时停止使用。此外，过程样式代码使我哭泣，因此我们将对其进行更改。此外，让我们返回一个带有状态和消息的数组，以便更轻松地处理错误和成功报告。

$ret = array();
$mysqli = new mysqli("localhost", "cSDEqLj", "4GFU7vT", "dbname");

if($sql = $mysqli->prepare('SELECT * FROM registration WHERE email = ? and password = ?')):
    $sql->bind_param('ss', $usrnm_original, $pswd_original);

    if($sql->execute()):

        $sql->fetch();

        if($sql->num_rows > 0):
            $ret['status'] = true;
            $ret['msg'] = 'You have successfully logged in! Redirecting you now';
        else:
            $ret['status'] = false;
            $ret['msg'] = 'The credentials supplied were incorrect. Please try again';
        endif;
    endif;
    $sql->close();
    return json_encode($ret);
endif;

现在，我们需要修改您的发布功能。

$.post("http://xyz/mobile/php/logmein.php",
{
  usrnm: usrnm,
  pswdlogin: pswdlogin,
  token:token
},
function(data) {

  if (data.status == true) {

    window.open("http://xyz/mobile/home.html?email=" + usrnm + "", "_parent");

  } else {
    alert(data.msg);
    $('#loginstatus').text(data.msg);
  }
}, 'json');

最后，也是最重要的是，您使用了纯文本方式的密码方法，从安全角度来看这是没有意义的。这正是您被黑客入侵的方式。相反，您应该至少使用sha256哈希方法。更改密码存储在数据库中的使用方式，sha256然后将其传递到SQL选择器中进行比较，例如：

$pswdlogin_original = isset($_POST['pswdlogin'])? hash('sha256', $_POST['pswdlogin']):false;

并且当保存在数据库中时，该密码将看起来像fcec91509759ad995c2cd14bcb26b2720993faf61c29d379b270d442d92290eb例如。

我的回答是为了清楚起见，但实际上，您甚至不应该重塑事物。那里有大量的应用程序和框架，已经花了无数小时来保护其身份验证系统。我建议您仔细阅读所有这些内容，因为它们将帮助您建立核心编程技能并教授基本的OOP练习。

• Lararvel 4.x
• Zend 2
• hal
• YII

希望这对您有所帮助。