问题标签 [login-script]

我想知道以下设置存在哪些严重问题：

用户名/密码登录方案 Javascript/ajax 从服务器请求盐值（我们在前面的问题中确定盐不是秘密值） Javascript 执行密码和盐的 SHA1（或其他）。Javascript/ajax 将哈希返回给服务器 服务器在通过 ajax 发送的那个之上应用另一个盐/哈希。

交易通过 HTTPS 进行。

我担心可能存在的问题，但无法说服自己这是一个糟糕的设置。假设所有用户都需要启用 javascript，因为网站上大量使用 jQuery。它基本上试图为密码的纯文本添加额外的安全层。

我有一个非常简单的登录脚本，它使用 PHP 的会话来限制访问，但我遇到了一个非常特殊的问题。即使使用正确的凭据，第一次尝试登录总是失败，但第二次和后续尝试都没有问题。我真的很困惑原因，所以任何帮助将不胜感激。

登录表单，删除了不相关的代码（是的，我知道将登录内容作为纯文本存储在 PHP 文件中通常是一个坏主意，但在这种情况下它不相关）：

每个需要身份验证的页面都有

auth.php：

我正在尝试使用 Perl 的 WWW::Mechanize 来下载文件。我必须先登录网站，然后在验证表单后下​​载文件。

问题是，几个小时后，我没有成功地做我想做的事。最后，该脚本保存了一个文件，该文件不是 zip 文件，而是一个 html 文件，其中没有任何有趣的内容。

这是我完成的脚本：

你能帮我找出我犯了什么错误吗？

寻找一个php登录脚本。我已经搜索了 stackoverflow 并看到了很多帖子，但是任何人都可以推荐最好的方法吗？另外，如果我想使用散列，检索时如何解码密码？我的 iPhone 应用程序使用相同的数据库，目前密码以普通文本存储（我知道不是很安全）。

另外，如果我实现了一个重定向到 info.php 的登录页面，如何阻止用户直接进入 info.php 页面而不登录，会话控制？

期待听到您的意见。非常感谢。

我正在编写一个 Android 应用程序，我需要为图表下载一个 csv 文件。我不确定是否需要将两列放入两个数组字符串或将它们导入数据库然后查询。我倾向于将它们放在字符串中，因为 csv 文件会不断变化。

我的两个问题是：

1. 我需要登录到特定的 URL 以使用正确的数据填充 CSV，例如http://myurl.net/protect/module_graph.htm?log=02。这将使用正确项目的数据填充文件http://myurl.net/protect/data1.csv 。将 log=02 更改为 log=03 或任何其他数字会更改 data1.csv 文件的内容。当我在网络浏览器中打开第一个 URL 时，它会弹出一个窗口，要求进行基本身份验证。我如何需要调用 URL 以将用户名和密码与请求一起发送？

2. 我需要下载 CSV 文件并将两列输出为字符串，以便图形代码可以从字符串中读取数据。我想我知道如何下载它，但我应该将它存储到 SD 卡然后输出数据还是只是从网络上打开文件然后输出数据？另外你怎么告诉它把每一列放到一个数组字符串中？

任何帮助表示赞赏。非常感谢代码示例或指向教程或其他选项的链接:)

谢谢！

我正在使用 div 显示用户名/密码/提交

同样使用AJAX通知“登录无效”而不刷新页面

我需要做的是，

如果登录成功，隐藏 div 部分中用于登录的元素，然后在同一个 div 中显示“welcome $username”。

（无需重新加载任何页面）

有人可以帮我吗？

我正在尝试为我的 java 程序创建一个多用户登录系统，目前我正在将用户名和密码与存储在文本文件中的 md5 哈希值进行比较。我希望能够为不同的用户提供对该程序的不同访问权限，使用我目前使用的系统，如果打开文本文件，可以轻松更改可访问性。有没有办法可以加密文件中的文本，然后在用户登录时解密它？？？谢谢

我有一个登录脚本，它应该同时检查 2 个人登录，如果用户存在，它会比较 mysql 服务器中的用户名和密码

我正在为正在开发的网站创建登录脚本，并使用 PHP 会话对用户进行身份验证。

我已将脚本设置为仅将 HTTP 用于 cookie，并且仅将 cookie 用于存储会话 ID。

基本上，我想知道两件事

1.我还应该做些什么来让我的登录更安全？

和

2. PHP 手册说session_destroy()删除会话数据，但不会取消设置任何会话变量。如果是这种情况，它实际上会破坏什么，我应该在注销时手动取消设置会话变量吗？

谢谢你的帮助

编辑： 我正在使用免费托管，无法安装任何 Apache 插件或更改 php.ini 文件

编辑： 我已经读到需要使用 SSL 来阻止会话 ID 被盗，但是我没有能力在服务器上安装 OpenSSL，那么还有其他方法可以保护会话 ID 吗？

我开发的一个网站最近遭到入侵，很可能是受到暴力破解或彩虹表攻击。原始登录脚本没有 SALT，密码存储在 MD5 中。

下面是一个更新的脚本，包含 SALT 和 IP 地址禁止。此外，如果相同的 IP 地址或帐户尝试 4 次登录失败，它将发送五月天电子邮件和 SMS 并禁用该帐户。请检查一下，让我知道可以改进的地方，缺少的地方，以及很奇怪的地方。

编辑

好的，这是我对随机 Salt 的尝试。首先，创建要插入到表中的盐：

然后使用随机盐生成哈希：

当用户登录时，使用存储的随机生成的盐比较存储的哈希：

看起来怎么样？