基于PHP的应用程序/ Web登录框架？

Question

我目前有一个非常简单的基于PHP的登录系统，可以与android，iOS和web一起工作，但我想用一些更安全的东西。我目前的设置只是传递用户名和密码以md5格式对我的数据库进行身份验证。

有没有人推荐使用的框架。我听说过使用PHP的oAuth和HMAC，但我不确定这些是否足以满足我的需求。

有什么想法？

Answer 1

对于初学者来说，MD5不再被认为是安全的。用现代硬件来暴力就太容易了。其次，如果您通过数据库中的电线&发送MD5，则您有效地使用密码的MD5作为密码。这意味着你通过电线发送未加密的密码。考虑一下 - 攻击者只需要捕获MD5并在需要破解时将其发回即可 - 您从中得不到任何实际的安全保护。

只需通过SSL发送纯文本用户名和密码。将它与服务器端的安全散列进行比较（bcrypt被认为是最近的一种方式），它将合并了一个秘密密钥。这将在数据库受到威胁时限制风险。