password_hash и запоминание паролей для входа

Question

Сегодня я узнал о безопасном хэшировании с солью в школе и начал использовать password_hash. Это потрясающе, и кажется очень надежным, до этого я использовал материал md5. Но теперь я что-то упускаю.

В моей базе данных я записал сеансы входа в систему и те, кто решил «запомнить» свое имя пользователя и пароль. Затем, основываясь на IP-адресе, и имеет ли последняя запись «да» или «нет» для столбца «помнить» в базе данных, я бы расшифровал md5 пароля и использовал его как «значение» для ввода пароля. Но дешифрование (насколько мне известно) невозможно для password_hash, вы можете проверить это, не так ли? Итак, как бы вы могли реализовать опцию «запомнить пароль» с паролем_ пароль?

Answer 1

В общем, функция, которую вы ищете, password_verify(): http://php.net/manual/en/function.password-verify.php

Но просто установить переменный сеанс или что-то, чтобы помнить пользователь, нет необходимости делать что-либо с расшифровкой паролей.

Answer 2

Помните, что я использую куки-файлы, поэтому хеш хранится как на клиентском сайте, так и на вашем сервере в основном в пользовательской базе данных рядом с хэшем паролей пользователей.

Answer 3

Вы не можете расшифровать хешированный пароль (по крайней мере теоретически). В этом вся причина, по которой это безопасно. На стороне сервера вам нужен способ входа в систему без необходимости пароля. Просто обходите часть, где вы будете проверять пароль, если часть «помни меня» проверяется в порядке.

Как сторона не ip-адрес не очень хороший способ запомнить сеанс пользователя. На некоторых компьютерах, расположенных за NAT, может быть один и тот же IP-адрес на сервере. Вместо этого используйте cookie.

Answer 4

Только во избежание недоразумений функциональное свойство remember-me не имеет никакого отношения к паролю пользователя, это было бы серьезным нарушением безопасности, если вы сохранили пароль на стороне клиента.

Обычно после успешного входа в систему, приложение:

1. генерирует случайный маркер, который зависимы друг от друга по имени пользователя или пароля.
2. Этот токен может быть установлен в cookie на стороне клиента.
3. Хэш токена хранится в базе данных вместе с идентификатором пользователя.
4. Если пользователь посещает сайт в следующий раз, вместо того, чтобы просить пароль, можно прочитать токен из файла cookie, хэш его снова и сравнить с уже сохраненным маркером.
5. Если хеши совпадают, пользователю разрешен доступ к сайту без ввода имени пользователя и пароля.