php логин с SSL

Question

Я читал много вопросов здесь о том, как логин может быть подключен к SSL и т. Д., Но все же идея не так понятна. Основываясь на том, что я прочитал, мне нужно установить SSL и установить на моем веб-сервере, чтобы я мог использовать защищенное соединение https на странице, где будет использоваться логин. Хорошо, я сделал эту часть, но все еще задаюсь вопросом, что включить в код входа, чтобы весь сеанс был выше https. в некоторых сайтах они упоминают, что я должен добавить этот код tep_href_link(FILENAME_ACCOUNT, '', 'SSL'), чтобы страница входа в систему или код были безопасными.

любые комментарии будут оценены.

Большое спасибо.

Обновление: Я считаю, что этот код очень важно добавить, чтобы страница входа шла на https. if(!isset($_SERVER['HTTPS'])) { header("location: https://" . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI']);
}

Answer 1

HTTPS представляет собой алгоритм для обеспечения связи transport layer, который шифрует то, что браузер и сервер отправляют друг другу. Зашифрованная форма, которая отправляется по сети, является дорогостоящим вычислительным образом, чтобы вернуться в исходное содержимое, если только кто-то дешифрует ciphertext имеет парный закрытый ключ (или используется алгоритм "computationally weak").

Это точка-точка (клиент отправляет запрос на сервер, сервер принимает, определяет ответ, отправляет ответ), поэтому браузер и сервер сначала exchange public keys, которые представляют то, что данные, которые вы отправляете или получаете, будут «скремблированы», против. Закрытый ключ принадлежит эмитенту открытого ключа, который позволяет компьютеру «дескремблировать» и получать исходный контент, отправленный получателю.

Поэтому, когда вы создаете пару частного/открытого ключа, закрытый ключ хранится (конфиденциально и секретно) на сервере, а связанный открытый ключ отправляется в браузер. Браузер аналогично делает то же самое и передает открытый ключ на сервер.

«Защита» конфиденциальной информации - это не все, что происходит; вы также можете использовать SSL/TLS для предотвращения подделки данными, например, или даже в качестве дополнительного шага проверки.

Чтобы получить HTTPS настройки и доступны для использования, вам необходимо:

1. заготовить открытый/закрытый ключ (подписания органом сертификации или CA, потенциально дополнительно, в зависимости от ваших конечных пользователей) ,
2. Установите его в хранилище ключей на сервере, доступном вашему веб-серверу. Во многих случаях OpenSSL используется для обоих этих шагов.
3. Настройка вашей системы на использование HTTPS-адресов (для всех ресурсов, а не только для <form action="https://...">).

Пара примечаний:

• Браузеры имеют свои собственные сертификаты, так что не беспокойтесь об этом.
• Многие CMS»и рамки позволяют указать HTTPS на прикладном уровне

Вы можете использовать WireShark, чтобы проверить, что ваш компьютер действительно отправки и получения. Это может быть очень освещающим, особенно в сочетании с просмотром запроса/ответа в консолях Firebug или Chrome Net.

Справочник по онлайн-справочнику PHP содержит OpenSSL «книга». Вот example of how CodeIgniter handles configuring HTTPS at the application level.

Существуют различные учебники по настройке SSL в стеке LAMP. Вот вам учебник по WAMP2 HTTPS and SSL Setup, если вам нужна только среда разработки.

Если у вас есть общедоступная среда размещения, возможно, вы не сможете самостоятельно настроить SSL на сервере; которые могут быть обработаны администратором сервера. Проконсультируйтесь с вашим хозяином. Например, DreamHost имеет extensive docs.

Answer 2

Ум, на быстрой Google, эта функция (tep_href_link) представляется частью osCommerce. Если ваш сайт правильно настроил SSL-сертификат, принудительное подключение пользователей к URL-адресу https должно быть прекрасным. Если вы не знаете, как это сделать, посмотрите в заголовки местоположения или mod_rewrite.

Кроме того, в качестве одной из сторон вам нужно будет сделать все ссылки на странице, проходящие через https. Это увеличит вероятность получения зеленой блокировки или w/e, когда пользователь придет на страницу, предполагая, что сертификат не подписан сам по себе.