两个安全密钥比一个好吗？

作者: 滔滔江水
发布时间: 2024-12-06 04:54:43 (18天前)
转自：

4 条回复

0#
回复此人
十二* | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 在我之前创建的网站中，我使用了a <code> user_id </code> 和用户密码的盐渍哈希。我使用两个字段来验证用户的主要原因是因为它省去了添加另一个表的麻烦（从而使数据库设计复杂化。） <code> user_id </code> 也存储在cookie中我可以在users表中进行索引查找，并有效地将salted哈希与用户匹配。当然，您可以将user_id和hash都连接成一个值，然后将其存储在cookie中。 </p> <P> 如果您只是一个随机的不可语句字符串，那么您必须有一个单独的表来将随机字符串与用户ID相关联，并为该特定用户执行另一次查找。 </p> </DIV>

编辑
1#
回复此人
Little it | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 我不是加密专家，但只要你检查强暴尝试，你应该能够使用一个短键（如Gmail的6位数字）。真正的漏洞是人们在用户登录时进行监听（例如，SideJacking）。 </p> </DIV>

编辑
2#
回复此人
喜欢一个人 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 在此有力地讨论了这一点 <a href="https://stackoverflow.com/questions/244882/what-is-the-best-way-to-implement-remember-me-for-a-website"> SO线程 </A> 。 </p> <BLOCKQUOTE> <P> ...用户被视为已通过身份验证。 </p> </BLOCKQUOTE> <P> 应该阅读经过身份验证但有限的授权。 </p> <P> 每条评论：因为一次性使用而且很难猜测，所以更安全一些。因此，如果cookie被泄露，攻击者必须迅速采取行动，或者合法用户登录将使令牌无效，而用户ID可能不会长时间更改。 </p> </DIV>

编辑

登录后才能参与评论