身份验证 - 每个 ajax 中的密钥

Question

我正在编写新应用程序，这次我想将 HTML/JS 层与 PHP 层完全分开。那是因为我以后会做phonegap版本。

我对身份验证有疑问。这次我不能使用会话变量，所以我必须找出新的身份验证方式。我打算这样试试：

1. 用户填写登录表单并通过ajax发送到php文件。
2. php 文件检查登录名和密码是否正确，然后为该用户创建一个密钥令牌。将其保存在他身边（例如在 mysql 中）并以 javascript 的形式返回给客户端。
3. 浏览器正在接收密钥令牌并将其保存在 session_storage 中。
4. 每个 ajax 请求都由这个令牌附加，然后由 php 验证。

这个计划有漏洞吗？也许有更容易/更好的解决方案。它的灵感来自 php 会话的工作方式，但使用密钥令牌而不是会话 ID。请帮帮我。

Answer 1

我不能使用会话变量

您所描述的内容完全听起来像一个会话，但您将自己实现自己，而不是使用标准 PHP 会话处理程序的已知、经过测试的属性和灵活性。因此，即使您避免了固有的设计缺陷，您也有在实现中注入缺陷的风险。

我强烈建议您使用标准的 PHP 机制（尽管您可能需要考虑更复杂的保存处理程序，即使它只是启用多层功能）。

鉴于您所描述的与 PHP 处理程序没有什么不同，那么，是的，如果实施正确，它将起作用 - 它安全吗？不是您提供的信息。

会话存储确实提供了在不借助 SSL 的情况下执行更安全操作的可能性（尽管如果安全很重要，HTTPS 是必须拥有），因为您可以预先共享加密密钥（但最初的密钥协商非常容易受到攻击）。

您所描述的OTOH容易受到嗅探、注入和CSRF的攻击。