php登录身份验证令牌\u id和登录脚本在网络上找到-安全？
在创建我的新站点时，我需要新的登录脚本，这样我就可以放心地使用我的数据。我以前做过这样的脚本，但谁知道它们有多安全。希望能在网上找到一些答案，我找到了这样一个自称为“超级安全登录脚本”的教程。你可以在这里找到它 我想知道它到底有多安全，它容易受到什么样的威胁 我在代码行中还发现如下内容：php登录身份验证令牌\u id和登录脚本在网络上找到-安全？,php,authentication,login,Php,Authentication,Login,在创建我的新站点时，我需要新的登录脚本，这样我就可以放心地使用我的数据。我以前做过这样的脚本，但谁知道它们有多安全。希望能在网上找到一些答案，我找到了这样一个自称为“超级安全登录脚本”的教程。你可以在这里找到它 我想知道它到底有多安全，它容易受到什么样的威胁 我在代码行中还发现如下内容： // Create Second Token $tokenId = rand(10000, 9999999); $query2 = “update users set tokenid = $tokenId wh
// Create Second Token
$tokenId = rand(10000, 9999999);
$query2 = “update users set tokenid = $tokenId where userid = ‘$_SESSION[userid]‘”;
$result2 = mysql_query ($query2);
$_SESSION['token_id'] = $tokenId;
它应该如何工作？它阻止了什么？我是否应该将$\u SESSION['token\u id']与以后的内容进行比较？您发布的代码只是创建一个随机数，然后将其存储在用户数据库表的用户记录中，然后将其存储在会话中。 根据提供的链接，令牌或随机数实际上根本没有用于任何用途。您必须向开发人员询问其含义 出于以下原因，我不推荐您链接到的登录脚本： 1） 它逃避用户输入以避免SQL注入的方式 以下是所使用的函数：
function escape_data ($data) {
// Check for mysql_real_escape_string() support.
// This function escapes characters that could be used for sql injection
if (function_exists(‘mysql_real_escape_string’)) {
global $dbc; // Need the connection.
$data = mysql_real_escape_string (trim($data), $dbc);
$data = strip_tags($data);
} else {
$data = mysql_escape_string (trim($data));
$data = strip_tags($data);
}
// Return the escaped value.
return $data;
} // End of function.
mysql\u real\u escape\u string（）mysql\u escape\u string（）strip\u tags（）htmlentities（）$_SESSION[userid] // this should have single quotes, making it $_SESSION['userid']
$\u会话['userid']$\u SESSION[userid]$sql = "SELECT * FROM table WHERE something = '" . $_SESSION['something'] . '";
我没有提到的另一点是密码散列。那就是使用不含盐的SHA1，它不是很浓。我会使用SHA256或更高版本，并使用salt作为密码。您发布的代码只是创建一个随机数，然后将其存储在用户数据库表的用户记录中，然后将其存储在会话中。 根据提供的链接，令牌或随机数实际上根本没有用于任何用途。您必须向开发人员询问其含义 出于以下原因，我不推荐您链接到的登录脚本： 1） 它逃避用户输入以避免SQL注入的方式 以下是所使用的函数：
function escape_data ($data) {
// Check for mysql_real_escape_string() support.
// This function escapes characters that could be used for sql injection
if (function_exists(‘mysql_real_escape_string’)) {
global $dbc; // Need the connection.
$data = mysql_real_escape_string (trim($data), $dbc);
$data = strip_tags($data);
} else {
$data = mysql_escape_string (trim($data));
$data = strip_tags($data);
}
// Return the escaped value.
return $data;
} // End of function.
mysql\u real\u escape\u string（）mysql\u escape\u string（）strip\u tags（）