第23天：安全开发-PHP应用后台模块SessionCookieToken身份验证唯一性

第二十三天

在这里插入图片描述

一、PHP后台身份验证模块实现

image-20240415113234324

image-20240415113244797

二、Cookie&Session技术&差异

1.生成cookie的原理图过程：见上图

  1. 客户端向服务器发送HTTP请求。
  2. 服务器检查请求头中是否包含cookie信息。
  3. 如果请求头中包含cookie信息，则服务器使用该cookie来识别客户端，否则服务器将生成一个新的cookie。
  4. 服务器在响应头中设置cookie信息并将其发送回客户端。
  5. 客户端接收响应并将cookie保存在本地。
  6. 当客户端发送下一次HTTP请求时，它会将cookie信息附加到请求头中。
  7. 服务器收到请求并检查cookie的有效性。
  8. 如果cookie有效，则服务器响应请求。否则，服务器可能会要求客户端重新登录。

2.session原理

  1. 客户端向服务器发送HTTP请求。
  2. 服务器为客户端生成一个唯一的session ID，并将其存储在服务器端的存储器中（如文件、数据库等）。
  3. 服务器将生成的session ID作为一个cookie发送给客户端。
  4. 客户端将session ID保存为一个cookie，通常是在本地浏览器中存储。
  5. 当客户端在发送下一次HTTP请求时，它会将该cookie信息附加到请求头中，以便服务器可以通过该session ID来识别客户端。
  6. 服务器使用session ID来检索存储在服务器端存储器中的与该客户端相关的session数据，从而在客户端和服务器之间共享数据。

3.函数解释

1.cookie

setcookie(): 设置一个cookie并发送到客户端浏览器。

unset(): 用于删除指定的cookie。

2.session

session_start(): 启动会话，用于开始或恢复一个已经存在的会话。

$_SESSION: 用于存储和访问当前会话中的所有变量。

session_destroy(): 销毁当前会话中的所有数据。

session_unset(): 释放当前会话中的所有变量。

Session存储路径：PHP.INI中session.save_path设置路径

3.安全知识

Cookie和Session都是用来在Web应用程序中跟踪用户状态的机制

1.存储位置不同：

Cookie是存储在客户端（浏览器）上的，而Session是存储在服务器端的。

2.安全性不同：

Cookie存储在客户端上，可能会被黑客利用窃取信息，而Session存储在服务器上，更加安全。

3.存储容量不同：

Cookie的存储容量有限，一般为4KB，而Session的存储容量理论上没有限制，取决于服务器的硬件和配置。

4.生命周期不同：

Cookie可以设置过期时间，即便关闭浏览器或者重新打开电脑，Cookie仍然存在，直到过期或者被删除。而Session一般默认在浏览器关闭后就会过期。

5.访问方式不同：

Cookie可以通过JavaScript访问，而Session只能在服务器端进行访问。

6.使用场景不同：

Cookie一般用于存储小型的数据，如用户的用户名和密码等信息。而Session一般用于存储大型的数据，如购物车、登录状态等信息。

7.总结：

总之，Cookie和Session都有各自的优缺点，选择使用哪一种方式，取决于具体的应用场景和需求。一般来说，如果需要存储敏感信息或者数据较大，建议使用Session；如果只需要存储少量的数据，并且需要在客户端进行访问，可以选择使用Cookie。

三、Token数据包唯一性应用场景

1.token原理

  1. 随机生成Token并将其存储在Session
  2. 生成Token并将其绑定在Cookie触发
  3. 尝试登录表单中带入Token验证逻辑
  4. 思考Token安全特性

2.安全知识

在Web应用程序中，使用token和不使用token的主要差异在于身份验证和安全性

1.身份验证：

采用token机制的Web应用程序，用户在登录成功后会收到一个token，这个token可以在每次请求时发送给服务器进行身份验证。而不采用token机制的Web应用程序，一般会使用session机制来保存用户登录状态，服务器会在用户登录成功后创建一个session，之后的每个请求都需要在HTTP头中附带这个session ID，以便服务器能够验证用户身份。

2.安全性：

采用token机制的Web应用程序，在服务器上不会存储用户的登录状态，只需要存储token即可。因此，即使token被盗取，黑客也无法获得用户的密码或者其他敏感信息。而不采用token机制的Web应用程序，一般会在服务器上存储用户的登录状态，因此如果服务器被黑客攻击，黑客可能会获得用户的敏感信息。

3.跨域访问：

采用token机制的Web应用程序，在跨域访问时，可以使用HTTP头中的Authorization字段来传递token信息，方便实现跨域访问。而不采用token机制的Web应用程序，在跨域访问时，需使用cookie或session来传递用户身份信息，比较麻烦。

4.总结

总之，采用token机制可以提高Web应用程序的安全性，并且方便实现跨域访问。不过，使用token机制也需要开发者自己来实现身份验证和token的生成和验证，相对来说比较复杂。而不采用token机制，使用session机制则相对简单，但是安全性相对较低。因此，具体采用哪种机制，需要根据实际情况进行权衡和选择。

四.环境复现

1.用cookie做后台身份验证

1.admin-c.php源码
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>后台登录</title>
    <style>
        body {
            background-color: #f1f1f1;
        }
        .login {
            width: 400px;
            margin: 100px auto;
            background-color: #fff;
            border-radius: 5px;
            box-shadow: 0 0 10px rgba(0,0,0,0.3);
            padding: 30px;
        }
        .login h2 {
            text-align: center;
            font-size: 2em;
            margin-bottom: 30px;
        }
        .login label {
            display: block;
            margin-bottom: 20px;
            font-size: 1.2em;
        }
        .login input[type="text"], .login input[type="password"] {
            width: 100%;
            padding: 10px;
            border: 1px solid #ccc;
            border-radius: 5px;
            font-size: 1.2em;
            margin-bottom: 20px;
        }
        .login input[type="submit"] {
            background-color: #2ecc71;
            color: #fff;
            border: none;
            padding: 10px 20px;
            border-radius: 5px;
            font-size: 1.2em;
            cursor: pointer;
        }
        .login input[type="submit"]:hover {
            background-color: #27ae60;
        }
    </style>
</head>
<body>
<div class="login">
    <h2>后台登录</h2>
    <form action="" method="post">
        <label for="username">用户名:</label>
        <input type="text" name="username" id="username" required>
        <label for="password">密码:</label>
        <input type="password" name="password" id="password" required>
        <input type="submit" value="登录">
    </form>
</div>
</body>
</html>



<?php
// 包含配置文件
include '../config.php';

// 登录文件
/*
 * 1、接受输入的帐号密码
 * 2、判断帐号密码正确性
 * 3、正确后生成的cookie进行保存
 * 3.1 错误的帐号密码就进行提示
 * 4、跳转至成功登录的页面
 */

// 1、接受输入的帐号密码
$user = $_POST['username'];
$pass = $_POST['password'];

// 2、判断帐号密码正确性
// 连接数据库 进行数据库查询将数据进行对比
$sql = "select * from admin where username='$user' and password='$pass';";
$data = mysqli_query($con, $sql);

// 如果是通过 POST 方法提交的表单
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    // 判断用户登录成功
    if (mysqli_num_rows($data) > 0) {
        $expire = time() + 60 * 60 * 24 * 30; // 一个月后过期
        setcookie('username', $user, $expire, '/');
        setcookie('password', $pass, $expire, '/');
        //echo '<script>alert("登录成功!")</script>';
        header('Location: index-c.php');
        exit();
    } else {
        // 判断用户登录失败
        echo '<script>alert("登录失败!")</script>';
    }
}
?>
2.index-c.php源码
<?php
// 检查用户是否登录，如果未登录则重定向到登录页面
if ($_COOKIE['username'] !== 'admin' || $_COOKIE['password'] !== '123456') {
    header('Location: admin-c.php');
    exit(); // 终止脚本执行，确保页面重定向生效
}
?>

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8">
    <title>后台首页</title>
</head>
<body>
<h1>后台首页</h1>
<p>欢迎您，<?php echo $_COOKIE['username']; ?>！</p>
<p><a href="logout-c.php">退出登录</a></p>
</body>
</html>
3.logout-c.php源码
<?php
// 删除存储在客户端的用户凭据的 Cookie
setcookie('username', '', time() - 3600, '/');
setcookie('password', '', time() - 3600, '/');

// 跳转到登录页面
header('Location: admin-c.php');
exit; // 终止脚本执行，确保页面重定向生效
?>

2.用session做后台身份验证

1.admin-s.php源码
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>后台登录</title>
    <style>
        body {
            background-color: #f1f1f1;
        }
        .login {
            width: 400px;
            margin: 100px auto;
            background-color: #fff;
            border-radius: 5px;
            box-shadow: 0 0 10px rgba(0,0,0,0.3);
            padding: 30px;
        }
        .login h2 {
            text-align: center;
            font-size: 2em;
            margin-bottom: 30px;
        }
        .login label {
            display: block;
            margin-bottom: 20px;
            font-size: 1.2em;
        }
        .login input[type="text"], .login input[type="password"] {
            width: 100%;
            padding: 10px;
            border: 1px solid #ccc;
            border-radius: 5px;
            font-size: 1.2em;
            margin-bottom: 20px;
        }
        .login input[type="submit"] {
            background-color: #2ecc71;
            color: #fff;
            border: none;
            padding: 10px 20px;
            border-radius: 5px;
            font-size: 1.2em;
            cursor: pointer;
        }
        .login input[type="submit"]:hover {
            background-color: #27ae60;
        }
    </style>
</head>
<body>
<div class="login">
    <h2>后台登录</h2>
    <form action="" method="post">
        <label for="username">用户名:</label>
        <input type="text" name="username" id="username" required>
        <label for="password">密码:</label>
        <input type="password" name="password" id="password" required>
        <input type="submit" value="登录">
    </form>
</div>
</body>
</html>

<?php
// 包含配置文件
include '../config.php';

// 登录文件-采用session验证

// 1、接受输入的帐号密码
$user = $_POST['username'];
$pass = $_POST['password'];

// 2、判断帐号密码正确性
// 连接数据库 进行数据库查询将数据进行对比
$sql = "select * from admin where username='$user' and password='$pass';";
$data = mysqli_query($con, $sql);

// 如果是通过 POST 方法提交的表单
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    // 判断用户登录成功
    if (mysqli_num_rows($data) > 0) {
        // 启动会话
        session_start();
        // 将用户名和密码存储到会话中
        $_SESSION['username'] = $user;
        $_SESSION['password'] = $pass;
        // 跳转到成功登录的页面
        header('Location: index-s.php');
        exit(); // 终止脚本执行，确保页面重定向生效
    } else {
        // 判断用户登录失败
        echo '<script>alert("登录失败!")</script>';
    }
}
?>

2.index-s.php源码

<?php
// 登录成功首页文件-采用session验证

// 启动会话
session_start();

// 如果会话中的用户名和密码与预期不符，则重定向到登录页面
if ($_SESSION['username'] !== 'admin' || $_SESSION['password'] !== '123456') {
    header('Location: admin-s.php');
    exit(); // 终止脚本执行，确保页面重定向生效
}
?>

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8">
    <title>后台首页</title>
</head>
<body>
<h1>后台首页</h1>
<p>欢迎您，<?php echo $_SESSION['username']; ?>！</p>
<p><a href="logout-s.php">退出登录</a></p>
</body>
</html>
3.logout-s.php源码
<?php
// 开始会话
session_start();

// 清除 SESSION 变量，并销毁会话
session_unset(); // 清除所有的会话变量
session_destroy(); // 销毁会话

// 重定向到登录页面
header('Location: admin-s.php');
exit; // 终止脚本执行，确保页面重定向生效
?>

3.用token做用户登录判断

1.token.php源码
<?php
// 开始会话
session_start();

// 生成Token并将其存储在Session中
// 生成一个16字节的随机Token，并将其转换为十六进制表示存储在Session中
$_SESSION['token'] = bin2hex(random_bytes(16));
?>

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>后台登录</title>
    <style>
        body {
            background-color: #f1f1f1;
        }
        .login {
            width: 400px;
            margin: 100px auto;
            background-color: #fff;
            border-radius: 5px;
            box-shadow: 0 0 10px rgba(0,0,0,0.3);
            padding: 30px;
        }
        .login h2 {
            text-align: center;
            font-size: 2em;
            margin-bottom: 30px;
        }
        .login label {
            display: block;
            margin-bottom: 20px;
            font-size: 1.2em;
        }
        .login input[type="text"], .login input[type="password"] {
            width: 100%;
            padding: 10px;
            border: 1px solid #ccc;
            border-radius: 5px;
            font-size: 1.2em;
            margin-bottom: 20px;
        }
        .login input[type="submit"] {
            background-color: #2ecc71;
            color: #fff;
            border: none;
            padding: 10px 20px;
            border-radius: 5px;
            font-size: 1.2em;
            cursor: pointer;
        }
        .login input[type="submit"]:hover {
            background-color: #27ae60;
        }
    </style>
</head>
<body>
<div class="login">
    <h2>后台登录</h2>
    <form action="token_check.php" method="post">
        <!-- 将生成的Token作为隐藏字段存储在表单中 -->
        <input type="hidden" name="token" value="<?php echo $_SESSION['token']; ?>">
        <label for="username">用户名:</label>
        <input type="text" name="username" id="username" required>
        <label for="password">密码:</label>
        <input type="password" name="password" id="password" required>
        <input type="submit" value="登录">
    </form>
</div>
</body>
</html>

2.token_check.php源码

<?php
// 开始会话
session_start();

// 获取POST请求中的token，如果不存在则将其设置为空字符串
$token = $_POST['token'] ?? '';

// 检查POST请求中的token是否与会话中的token匹配
if ($token !== $_SESSION['token']) {
    // 如果token不匹配，禁止访问
    header('HTTP/1.1 403 Forbidden');
    // 重新生成一个新的token并存储在会话中，以确保安全性
    $_SESSION['token'] = bin2hex(random_bytes(16));
    echo 'Access denied'; // 输出拒绝访问的消息
    exit; // 终止脚本执行
} else {
    // 如果token匹配，则重新生成一个新的token并存储在会话中，以确保安全性
    $_SESSION['token'] = bin2hex(random_bytes(16));
    
    // 检查用户名和密码是否为管理员的凭证
    if ($_POST['username'] == 'admin' && $_POST['password'] == '123456') {
        echo '登录成功!'; // 输出登录成功的消息
        echo '你是管理员可以访问文件管理页面！'; // 输出管理员特权消息
    } else {
        echo '登录失败！'; // 输出登录失败的消息
    }
}
?>

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/560672.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Android Studio Iguana | 2023.2.1配置优化

Android Studio Iguana | 2023.2.1配置优化

一. 前言 本篇文章记录最新版本的Android Studio的配置优化&#xff0c;写这篇文章的是由于电脑中的AS工具更新版本覆盖安装后&#xff0c;AS会经常卡死&#xff0c;Debug的时候也经常莫名其妙的断掉&#xff0c;非常影响工作效率&#xff0c;所以重新把配置环境整理一下&#…
阅读更多...
保姆级教程！QRCNN-BiLSTM一键实现多变量回归区间预测！区间预测全家桶再更新！

保姆级教程！QRCNN-BiLSTM一键实现多变量回归区间预测！区间预测全家桶再更新！

​ 声明&#xff1a;文章是从本人公众号中复制而来&#xff0c;因此&#xff0c;想最新最快了解各类智能优化算法及其改进的朋友&#xff0c;可关注我的公众号&#xff1a;强盛机器学习&#xff0c;不定期会有很多免费代码分享~ 今天对我们之前推出的区间预测全家桶进行…
阅读更多...
详解数据在内存中的存储

详解数据在内存中的存储

系列文章目录 第一章 C语言基础知识 第二章 C语言控制语句 第三章 C语言函数详解 第四章 C语言数组详解 第五章 C语言操作符详解 第六章 C语言指针详解 第七章 C语言结构体详解 文章目录 1. 数据类型 1.1 基本数据类型 1.2 派生数据类型 2. 整形在内存中的存储 2.1 …
阅读更多...
AOP基础-动态代理

AOP基础-动态代理

文章目录 1.动态代理1.需求分析2.动态代理的核心3.代码实例1.Vehicle.java2.Car.java3.Ship.java4.VehicleProxyProvider.java(动态代理模板)5.测试使用 2.动态代理深入—横切关注点1.需求分析2.四个横切关注点3.代码实例1.Cal.java2.CalImpl.java3.VehicleProxyProvider02.jav…
阅读更多...
第 2 章：FFmpeg简介

第 2 章：FFmpeg简介

2.1 历史 历史 一些相关术语介绍&#xff1a; 容器&#xff08;Container&#xff09;格式&#xff1a;一种文件封装格式&#xff0c;里边主要包含了流&#xff0c;一般会使用一个特定的后缀名标识&#xff0c;例如.mov、.avi、.wav等。流 &#xff08;Stream&#xff09;&am…
阅读更多...
大语言模型隐私防泄漏：差分隐私、参数高效化

大语言模型隐私防泄漏：差分隐私、参数高效化

大语言模型隐私防泄漏&#xff1a;差分隐私、参数高效化 写在最前面题目6&#xff1a;大语言模型隐私防泄漏Differentially Private Fine-tuning of Language Models其他初步和之前的基线微调模型1微调模型2通过低秩自适应进行微调&#xff08; 实例化元框架1&#xff09; 在隐…
阅读更多...
pta L1-063 吃鱼还是吃肉

pta L1-063 吃鱼还是吃肉

L1-063 吃鱼还是吃肉 分数 10 全屏浏览 切换布局 作者 陈越 单位 浙江大学 国家给出了 8 岁男宝宝的标准身高为 130 厘米、标准体重为 27 公斤&#xff1b;8 岁女宝宝的标准身高为 129 厘米、标准体重为 25 公斤。 现在你要根据小宝宝的身高体重&#xff0c;给出补充营养的…
阅读更多...
浅谈 刷算法题时遇到运行超时异常 的解决办法

浅谈 刷算法题时遇到运行超时异常 的解决办法

文章目录 一、背景介绍二、解决办法2.1 C/C 语言2.2 Java 语言2.2.1 ACM模式下 Java的I/O原理 三、模板详情 一、背景介绍 最近在牛客、leetcode 刷算法题时发现一个奇怪的问题&#xff0c;明明解题思路、所用算法与题解一致&#xff0c;并且在本地IDE运行是通过的&#xff0c…
阅读更多...
【HTML】H5新增元素记录

【HTML】H5新增元素记录

H5 新增元素特性 1. 语义化标签 语义化标签的好处&#xff1a; 对于浏览器来说&#xff0c;标签不够语义化对于搜索引擎来说&#xff0c;不利于SEO的优化 语义化标签&#xff1a; header:头部元素nav&#xff1a;导航section:定义文档某个区域的元素article:内容元素aside…
阅读更多...
深度学习：Pytorch分布式训练

深度学习：Pytorch分布式训练

深度学习&#xff1a;Pytorch分布式训练 简介模型并行数据并行参考文献 简介 在深度学习领域&#xff0c;模型越来越庞大、数据量不断增加&#xff0c;训练这些大型模型越来越耗时。通过在多个GPU或多个节点上并行地训练模型&#xff0c;我们可以显著减少训练时间。此外&#…
阅读更多...
python学习 | 我有两个dataframe，想通过某1列进行匹配

python学习 | 我有两个dataframe，想通过某1列进行匹配

需求 我有两个dataframe&#xff0c;第1个dataframe A的columns是[‘id’, ‘A’, ‘B’, ‘C’]&#xff0c;第2个dataframe B的columns是[‘id’, ‘1’, ‘2’, ‘3’]&#xff0c;其中’id’列A是B的子集&#xff0c;我想通过’id’列进行匹配&#xff0c;把A给扩充成[‘i…
阅读更多...
js 特定索引下拆分字符串并组建成新的字符串数据

js 特定索引下拆分字符串并组建成新的字符串数据

要在特定索引处拆分字符串&#xff0c;请使用 slice 方法获取字符串的两个部分&#xff0c;例如 str.slice(0, index) 返回字符串的一部分&#xff0c;但不包括提供的索引&#xff0c;而 str.slice(index) 返回字符串的其余部分。 过程&#xff1a;我们创建一个可重用的变量&a…
阅读更多...
「GO基础」目录

「GO基础」目录

&#x1f49d;&#x1f49d;&#x1f49d;欢迎莅临我的博客&#xff0c;很高兴能够在这里和您见面&#xff01;希望您在这里可以感受到一份轻松愉快的氛围&#xff0c;不仅可以获得有趣的内容和知识&#xff0c;也可以畅所欲言、分享您的想法和见解。 推荐:「stormsha的主页」…
阅读更多...
删除word中下划线的内容

删除word中下划线的内容

当试卷的题目直接含答案&#xff0c;不利用我们刷题。这时如果能够把下划线的内容删掉&#xff0c;那么将有利于我们复习。 删除下划线内容的具体做法&#xff1a; ①按ctrl H ②点格式下面的字体 ③选择下划线线型中的_____ ④勾选使用通配符并在查找内容中输入"?&qu…
阅读更多...
Linux 序列化、反序列化、实现网络版计算器

Linux 序列化、反序列化、实现网络版计算器

目录 一、序列化与反序列化 1、序列化&#xff08;Serialization&#xff09; 2、反序列化&#xff08;Deserialization&#xff09; 3、Linux环境中的应用实例 二、实现网络版计算器 Sock.hpp TcpServer.hpp Jsoncpp库 Protocol.hpp 类 Request 类 Response 辅助函…
阅读更多...
SQLite数据库中JSON 函数和运算符(二十七)

SQLite数据库中JSON 函数和运算符(二十七)

返回&#xff1a;SQLite—系列文章目录 上一篇:维护SQLite的私有分支&#xff08;二十六&#xff09; 下一篇&#xff1a;SQLite—系列文章目录 ​1. 概述 默认情况下&#xff0c;SQLite 支持 29 个函数和 2 个运算符 处理 JSON 值。还有两个表值函数可用于分解 JSON 字…
阅读更多...
程序员自由创业周记#32：新产品构思

程序员自由创业周记#32：新产品构思

程序员自由创业周记#32&#xff1a;新产品构思 新作品 我时常把自己看做一位木匠&#xff0c;有点手艺&#xff0c;能做一些作品养活自己。而 加一、Island Widgets、Nap 就是我的作品。 接下来在持续维护迭代的同时&#xff0c;要开启下一个作品的创造了。 其实早在2022的1…
阅读更多...
【C++初阶】List使用特性及其模拟实现

【C++初阶】List使用特性及其模拟实现

1. list的介绍及使用 1.1 list的介绍 1. list是可以在常数范围内在任意位置进行插入和删除的序列式容器&#xff0c;并且该容器可以前后双向迭代。 2. list的底层是双向链表结构&#xff0c;双向链表中每个元素存储在互不相关的独立节点中&#xff0c;在节点中通过指针指向其前…
阅读更多...
(2022级）成都工业学院数据库原理及应用实验五： SQL复杂查询

(2022级）成都工业学院数据库原理及应用实验五： SQL复杂查询

写在前面 1、基于2022级软件工程/计算机科学与技术实验指导书 2、成品仅提供参考 3、如果成品不满足你的要求&#xff0c;请寻求其他的途径 运行环境 window11家庭版 Navicat Premium 16 Mysql 8.0.36 实验要求 在实验三的基础上完成下列查询&#xff1a; 1、查询医生…
阅读更多...
漆包线行业你了解多少？专业漆包线行业MES生产管理系统

漆包线行业你了解多少？专业漆包线行业MES生产管理系统

今天就说说漆包线行业&#xff0c;漆包线是工业电机&#xff08;包括电动机和发电机&#xff09;、变压器、电工仪表、电力及电子元器件、电动工具、家用电器、汽车电器等用来绕制电磁线圈的主要材料。 漆包线上游是铜杆行业&#xff0c;下游是各种消费终端&#xff0c;主要是电…
阅读更多...
最新文章

Copyright @ 2022~2023