在会话中存储密码是否安全？ [复制]

Question

我需要在会话中经常使用密码。我正在使用由密码加密的密钥加密我的用户数据。所以有我的问题。在 php 会话中存储 plaintext 密码是否安全（不是 cookie，所以非客户端）？有没有更好的办法？还是我应该每次都向我的用户询问密码？

我使用 phpseclib 使用用户密码加密 rsa 的私钥。每次我想访问密钥时，我都需要密码。我有两个选择：要么我存储密码，要么存储我认为两者都不太好的密钥。我不能使用密码哈希进行加密，因为哈希存储在数据库中的“明文”中......

Answer 1

在任何地方以任何容量保存明文密码通常是个坏主意。会话本身是安全的，但仅与服务器环境的其余部分一样安全。管理员或其他合法和恶意用户都可以访问存储在其中的数据。如果可以避免，您永远不想处理客户的秘密；这也意味着您希望避免在任何情况下看到用户的密码，并且您应该以纯文本密码在技术上尽可能短的方式构建代码。

如果您需要在会话期间为某事使用密码，您应该构建您的应用程序，使其从不使用明文密码，而是使用key derivation function 来从密码中获取密钥然后您将其用于敏感任务。这样一来，泄露用户密码的机会就会少得多。请记住，用户拥有的唯一安全性是他的密码的机密性，只有他应该知道。

Answer 2

如果这样做并且当黑客访问您的服务器时，他们将看到纯文本密码。永远不要存储纯文本密码（在任何地方）

---

关于一般问题。您向用户询问一次密码并根据存储的加密密码验证加密密码 - 假设在数据库中。如果它们相同，那么您将开始一个新会话。当用户下次尝试访问您的站点时，您将检查该用户的会话是否存在。所以没有必要在会话中存储密码。

Answer 3

永远不要在任何地方存储任何类型的敏感数据，除了您通常应该避免直接使用MD5 和SHA 系列的数据库。

那么解决办法是什么？

如果您正在实施身份验证系统，则比较客户端信息（通常是用户名和密码），然后创建一个特殊令牌，然后将其保存到会话或 cookie。

示例

if ($username == 'someuser' AND $password == 'somepassword_hash'){
    $token = md5(uniqid());
    // database query with along with user_id and token
    $_SESSION['_token'] = $token;
}

比较令牌

functon varifyToken($token){
    
    // database query here
    // SELECT user_id FROM sessions WHERE token = 'token_here'
}

Answer 4

切勿以明文形式存储密码。除此之外：是的，会话是安全的。会话存储在服务器上。会话数据本身永远不会发送到浏览器。

在会话中存储密码是否明智甚至必要，可能不是。也许是出于缓存的原因，但即便如此，它还是很脆弱。