В архитектуре MVC, где должно выполняться шифрование пароля

Question

Я работаю над созданием базовой безопасности паролей на веб-сайте PHP CodeIgniter среднего размера. Мне нужно начать шифрование пароля, который сохраняется в базе данных. Пользовательские пароли могут быть вставлены с использованием разных методов, включая импорт CSV или индивидуальный подход к регистрации.

Поэтому я просто хочу знать, что такое правильный уровень в системе MVC, где пароль должен быть зашифрован?

Answer 1

Единственный раз, когда вам нужно выполнить эту функцию, - это добавить нового пользователя или обновить пароль для существующего пользователя. Обе эти функции должны выполняться моделью пользователя. Например, что-то вроде:

$user = new User(); 
$user->setName('...'); 
$user->setPassword('...'); 
$user->save(); 

или:

$user = User::find('...'); 
$user->setPassword('...'); 
$user->save(); 

В этом примере, метод SetPassword() будет делать фактическое шифрование.

Кроме того, подумайте об этом таким образом - не должно быть возможности получить незашифрованный пароль в системе. Таким образом, вы создаете модель User только для взаимодействия с пользователями и должны прозрачно шифровать все предоставленные ей пароли.

Answer 2

Все зависит от того, как вы храните свои пароли.

я обычно делаю:

1. Создать пользователя с полем ввода пароля, установленного в ничто (не нулевой).
2. Вставьте пользователя в базу данных, создав таким образом новый UserID.
3. Используйте вновь вставленный UserID, а также дополнительную соль для создания пароля и сохранения.

Если вы не использовали идентификатор пользователя или сгенерированную среду выполнения (т. Е. На вставке), вы можете одновременно вставлять и шифровать пароль.

Edit ...

К сожалению, я унаследовал ваше использование Encrypt, однако для пароля, вы «должны» только когда-либо HASH пароль.

Простой пример:

md5(md5(UserID).md5('Password')) 

Затем, когда пользователь вводит в их электронной почте/имя пользователя и пароль, вам просто нужно так:

select * from User where Username = 'myusername' and Password = md5(concat(md5(UserID), md5('Password'))) 

вместо расшифровки пароля.