Есть ли недостатки, если я использую JSON в качестве механизма хранения, для хранения информации ID/пароля?

Question

Я попросил PHP системы авторизации и я получил ответы,

1. много тактики файлов
   * aaa.txt (содержание ааа-передача)
   * bbb.txt (содержание ГЭБ проход)
   * и скандир.
2. XML
3. CSV
4. MySQL
5. SQLite
6. PEAR :: AUTH

Но никто не упомянул о JSON.
, но я чувствую, что JSON - лучший способ для меня.
Потому что это выглядит просто, и PHP имеет встроенную функцию JSON.
Итак, я рассматриваю возможность выбора JSON для моей системы входа,
, но я хочу подтвердить, что есть какой-либо недостаток
, если я использую JSON для моего сценария входа.

У любого есть мнение?

Answer 1

Я определенно даст вам кучу недостатков, по двум основным причинам:

1) никогда ничего происходит на стороне клиента, особенно кода, выполняющегося на стороне клиента такой JavaScript не доверяйте. Более просто, пользователи могут легко изменить ваш код аутентификации, что делает вашу проверку подлинности бесполезной.

2) Ваша пользовательская база данных напрямую http доступна и в виде простого текста и, скорее всего, легко обнаружена из источника ваших сценариев или с помощью HTTP-отладчика. Поэтому после того, как они закончатся как admin, у них будут все ваши имена пользователей и пароли для игры.

Если вам нужна система входа в систему, создайте систему входа в систему. Или, по крайней мере, отказаться от любых методов проверки подлинности HTTP, поддерживаемых вашим веб-сервером.

Answer 2

JSON так же хорош, как и любой другой формат обычного текста. Просто убедитесь, что не хранить пароли в текстовом формате. Сохраните их только в хешированной форме. И не забудьте использовать salt при хешировании. И, когда это возможно, попробуйте сохранить этот файл из корневого каталога документа или, по крайней мере, запретить доступ к нему через конфигурацию сервера.