Untuk mengendalikan pengesahan dan kebenaran dengan selamat di PHP, ikuti langkah -langkah berikut: 1. 2. Melaksanakan kawalan akses berasaskan peranan dengan memeriksa peranan yang disimpan sesi seperti "Admin" atau "Editor", mengalihkan pengguna yang tidak dibenarkan dengan sewajarnya. 3. Melindungi isu -isu keselamatan seperti penetapan sesi dengan menanam semula ID sesi dengan session_regenerate_id (benar), mencegah merampas dengan menetapkan bendera kuki yang selamat, dan mempertahankan serangan kekerasan dengan mengehadkan percubaan log masuk. 4. Pertimbangkan menggunakan perpustakaan atau kerangka yang ditetapkan seperti Laravel Auth, Symfony Security, atau PhPaututh untuk penyelesaian berskala dan selamat dan bukannya membina dari awal.

Apabila anda bekerja dengan PHP dan perlu mengendalikan pengesahan dan kebenaran, ia bukan hanya untuk memeriksa jika seseorang log masuk - ia juga mengenai mengawal apa yang boleh mereka lakukan apabila mereka berada. Kuncinya adalah untuk melaksanakan ciri -ciri ini dengan selamat tanpa mengatasi asas anda.

1. Mulakan dengan pengesahan pengguna yang selamat

Pengesahan bermaksud mengesahkan siapa pengguna. Dalam PHP, ini biasanya melibatkan memeriksa e -mel/nama pengguna dan kata laluan mereka terhadap pangkalan data.

• Sentiasa kata laluan hash menggunakan password_hash() dan sahkannya dengan password_verify() Jangan sekali -kali menyimpan kata laluan teks biasa.
• Gunakan pernyataan yang disediakan (dengan PDO atau MySQLI) apabila menanyakan pangkalan data untuk mengelakkan suntikan SQL.
• Selepas log masuk yang berjaya, simpan data pengguna dalam $_SESSION untuk memastikan mereka masuk ke dalam permintaan.

Contoh:

 jika (password_verify ($ userInputPassword, $ disimpanHash)) {
    $ _Session ['user_id'] = $ user ['id'];
    $ _Session ['Role'] = $ user ['Role'];
}

Juga, jangan lupa untuk memulakan sesi dengan session_start() pada permulaan setiap skrip yang menggunakan data sesi.

2. Melaksanakan kebenaran berasaskan peranan

Kebenaran menentukan apa yang pengguna yang disahkan dibenarkan dilakukan. Cara mudah untuk mengurus ini adalah dengan memberikan peranan seperti "admin", "editor", atau "tetamu" semasa pendaftaran atau persediaan akaun.

Untuk mengawal akses:

• Semak peranan pengguna dari sesi sebelum membenarkan akses ke halaman atau tindakan tertentu.
• Redirect pengguna yang tidak dibenarkan ke halaman yang berbeza atau tunjukkan mesej ralat.

Sebagai contoh, menyekat akses ke papan pemuka admin:

 jika ($ _Session ['peranan']! == 'admin') {
    header ('Lokasi: /Unuthorized.php');
    keluar;
}

Jika aplikasi anda berkembang, pertimbangkan untuk membina sistem kebenaran di mana setiap peranan mempunyai keupayaan khusus yang disimpan dalam pangkalan data.

3. Melindungi daripada masalah keselamatan biasa

Walaupun anda mempunyai pengesahan dan kebenaran yang ditetapkan, lubang keselamatan masih boleh wujud. Berikut adalah beberapa perangkap biasa dan bagaimana untuk mengelakkannya:

• Penetapan Sesi : Regenerasi ID Sesi selepas log masuk menggunakan session_regenerate_id(true) .
• Sesi Hijacking : Gunakan kuki selamat dan https. Tetapkan session.cookie_secure = 1 dan session.cookie_httponly = 1 dalam php.ini atau melalui ini_set() .
• Serangan kekerasan : Hadkan percubaan masuk dengan mengesan log masuk gagal setiap IP atau nama pengguna, dan sementara menghalang aktiviti yang mencurigakan.

Juga, sentiasa membersihkan dan mengesahkan sebarang input sebelum menggunakannya-terutamanya untuk perkara seperti nama pengguna, e-mel, atau nilai yang dihasilkan oleh pengguna lain.

4. Pertimbangkan menggunakan perpustakaan atau kerangka kerja

Melancarkan sistem auth anda sendiri berfungsi untuk projek -projek kecil, tetapi sebagai skala perkara, ia menjadi lebih sukar untuk mengekalkan keselamatan dan fleksibiliti. Di sinilah kerangka dan perpustakaan berguna.

Pilihan popular termasuk:

• Sistem auth terbina dalam Laravel, yang mengendalikan segala-galanya dari log masuk ke kata laluan semula dan middleware berasaskan peranan.
• Komponen Keselamatan Symfony, yang memberikan anda kawalan halus ke atas akses dan aliran pengesahan.
• Pakej pihak ketiga seperti PhPAuth jika anda bekerja dengan Vanilla PHP.

Alat ini diuji dengan baik dan menjimatkan masa, jadi melainkan jika anda mempunyai kes penggunaan yang sangat spesifik, biasanya lebih baik menggunakannya daripada membina dari awal.

Itulah pada dasarnya bagaimana anda mengendalikan pengesahan dan kebenaran dalam PHP - ia mudah, tetapi mudah untuk mendapatkan salah jika anda melangkau asas -asas.

Atas ialah kandungan terperinci Bagaimana saya melaksanakan pengesahan dan kebenaran dalam php?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!