Каков наилучший способ защитить раздел администратора / область сайта?

Question

Так что я искал в Интернете и даже здесь, и он дал мне этот пост , но на самом деле он не дал мне ответ, который я хотел.

Я бы хотелна моем сервере есть стандартная директория / admin /, например, www.mysite.com/admin.Что будет хранить статистику веб-сайта и т. Д. И другую «секретную» информацию о сайте.

Но каковы наилучшие методы защиты этой папки?Конечно, я мог бы просто закодировать стандартный вход в систему с помощью браузера SESSIONS, но это было бы слишком легко обойти - рискуя взломом SESSION.

Я читал о .htaccess защите каталога?Кто-нибудь может дать мне больше информации по этому поводу?

Буду признателен за любые советы из личного опыта.

Спасибо, Фрэнк.

Answer 1

Ваш лучший надежный способ защитить каталог, подобный этому, - это купить сертификат SSL и требовать доступ к области через безопасное соединение. В этом случае перехват сеанса будет чрезвычайно, чрезвычайно, чрезвычайно трудным, потому что только несколько пользователей (и, следовательно, несколько сеансов) будут иметь доступ к панели администратора, а идентификатор сеанса будет зашифрован через защищенное соединение и не будет виден публично. Другой совет - создать отдельные идентификаторы сеанса для доступа пользователя к основному веб-сайту (который не защищен) и доступа того же пользователя к административной панели (которая защищена).

Есть еще одна тема о переполнении стека, в которой рассматриваются преимущества и недостатки сеансов по сравнению с HTTP-аутентификацией , которые могут оказаться полезными при определении того, какой из них использовать. Я бы лично придерживался сессий, потому что это обеспечивает большую гибкость, тогда как HTTP-аутентификация дает вам стандартное диалоговое окно, которое полностью не настраивается.

Answer 2

Ну, как вы сказали, вы всегда можете использовать htaccess и htpasswd для базовой аутентификации (легко и быстро настроить), или вы всегда можете установить классическое имя пользователя / пароль для входа, используя что-то вроде php / mysql.

EDIT

Вот хорошая информация о htaccess / htpasswd http://httpd.apache.org/docs/2.0/howto/auth.html