Безопасный ящик для входа на сайт - как хранить детали для будущих посещений - PullRequest
0 голосов
/ 27 октября 2011

Я очень, очень плохо разбираюсь в вопросах безопасности при создании веб-сайтов - я хочу сохранить информацию, которую пользователь вводит для входа в cookie, чтобы я мог сделать две вещи:

  1. Проверьте cookie с флэш-памяти (через php-файл), чтобы получить информацию о вошедшем в систему пользователе (если вообще). Это будет использоваться для высокоуровневых API и т. Д.
  2. Автоматический вход пользователя, когда он возвращается на мой сайт.

Сам сайт на самом деле не имеет никакой важной информации и т. Д., Поэтому я имею в виду, что он не является самой безопасной вещью на земле (или даже близко). Но я бы хотел, чтобы это не было подделано, если это возможно.

Насколько я понимаю, хранение информации о пользователях в cookie может быть плохим, потому что пользователь может просто изменить cookie и войти в систему как кто-то еще.

Я думал; Насколько безопасно делать что-то подобное ?:

  1. Когда пользователь входит в систему, сохраните версию его адреса электронной почты в формате MD5 (используется для входа в систему). Таким образом, по крайней мере, крайне маловероятно, что они смогут изменить информацию, чтобы отразить другого пользователя в базе данных.
  2. Поскольку кто-то может просто указать MD5 адрес электронной почты, который, как он знает, кто-то другой использует для сайта, и изменить свой файл cookie, чтобы отразить это, следует ли мне хранить пароль MD5 рядом с ним, а затем использовать его для попытки входа на каждую страницу. ? Единственное, что кажется, что это будет медленным / нестратегическим, потому что нужно в основном повторно входить в систему с информацией в куки на каждой странице.

Этот подход, вероятно, кажется действительно странным, но будет ли он работать нормально? Основное требование, которое у меня есть, заключается в том, что если пользователь вошел на мой сайт, играющие в мои флеш-игры в любом месте Интернета автоматически обнаружат, что они вошли в систему, и будут работать со своей информацией.

1 Ответ

1 голос
/ 27 октября 2011

Использовать сеансы PHP.

Php сохраняет идентификатор сеанса в файле cookie в браузере, а все остальное в сеансе сохраняется на сервере.Ваш flash-скрипт должен быть в состоянии идентификатора сеанса из этого куки, и, возможно, вы можете написать php-файл, который будет возвращать информацию, которая нужна флэш-файлу, когда флэш-файл передается в идентификаторе сеанса?

Поскольку сеансИдентификаторы являются более или менее случайными, пользователю трудно изменить файл cookie сеанса и случайно получить доступ к логину другого пользователя.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...