PHP7-学习手册-四-PHP7 学习手册（四）七、验证 Electronic supplementary mater

PHP7 学习手册（四）

原文：Learn PHP 7

协议：CC BY-NC-SA 4.0

七、验证

Electronic supplementary material The online version of this chapter (doi:10.1007/978-1-4842-1730-6_7) contains supplementary material, which is available to authorized users.

(对丽莎)你有头脑和天赋，想走多远就走多远，当你走远了，我会在那里借钱给你的—巴特·辛普森

章节目标/学生学习成果

完成本章后，学生将能够:

定义会话并解释它们如何用于身份验证
创建一个验证用户登录的 PHP 程序
创建一个注册用户的 PHP 程序
创建一个允许用户修改密码的 PHP 程序
创建一个记录无效登录尝试的 PHP 程序
创建一个使用当前密码加密技术的 PHP 程序

验证和会话

如果不包括用户 ID/密码认证，任何关于安全性的讨论都是不完整的。PHP 的当前版本包含了许多帮助开发人员验证用户的技术。本章着眼于一个更简单的方法。

由于立即验证登录凭证的性质，身份验证过程直接访问数据源进行验证(它不通过业务规则层)。因此，身份验证过程被视为一个独立的层，位于应用之上以提供访问。正如您将看到的，只需要在接口层程序中进行微小的更改就可以限制访问。所需的大部分编码都放在身份验证层。

除了身份验证之外，访问级别也可以在登录过程中确定。并非每个用户都需要对应用的完全访问权限。一些用户可能只需要读取权限，一些用户可能只需要对与其相关的信息进行写入，而一些用户(管理员)可能需要对整个应用进行完全访问。应用的每个部分都需要能够确定正确的访问级别，而无需向用户请求额外的信息(除了最初登录应用之外)。

一个登录过程必须允许用户验证应用的所有部分。应用的每个部分都需要访问由身份验证层设置的公共属性(如用户 ID 和密码)，以验证有效的访问和有效的访问级别。PHP 通过声明一个会话提供了在服务器内存中存储应用信息的能力。一个会话被认为包括用户与应用的完整交互(例如将钱从储蓄账户转移到支票账户的完整过程)。一旦用户登录到应用，就可以建立会话。用户从系统注销后(或者应用超时，或者被关闭)，可以关闭会话。当会话关闭时，存储在服务器内存中的所有属性都被垃圾收集器移除。

当会话处于活动状态时，可以在整个应用中存储和共享属性。使用此过程，用户 ID 和密码可以存储在会话属性中。然后，应用的每个部分可以通过确定userid和password属性中是否有值来验证用户已经登录。

在查看登录身份验证过程之前，我们先来看看如何确定用户是否已经登录到系统。本章中的示例不包括安全访问级别的验证。但是，确定这些级别的过程将使用类似于这些示例中所示的代码。

Programming considerations-session_start The method call must be the first statement at the top of the code. There can be no space or code between <?php tag and session_start. session_start The method generates an HTML header. If there is any code before the method is called, this header will not be formed correctly.

<?php

session_start();

if ((!isset($_SESSION['username'])) || (!isset($_SESSION['password']))) {

echo "You must login to access the ABC Canine Shelter Reservation System";

echo "<p>";

echo "<a href='login.php'>Login</a> | <a href='register.php'>Create an account</a>";

echo "</p>";

}

else {

echo "<p>Welcome back, " . $_SESSION['username'] . "</p>";

}

?>

界面层中的每个程序(用户可以访问)都将包含类似于前面示例的代码。在这个例子中,session_start方法让操作系统知道这个程序是现有会话的一部分(在认证层声明)。系统使用唯一生成的 ID 来标识每个会话。只要用户(或系统)没有关闭会话，会话 ID 将被附加到用户调用的任何程序，包括session_start方法。这允许程序访问与当前会话相关的所有属性。

PHP isset方法(在if语句中)可以确定值是否存在于username和password属性中。如果值不存在，则表明用户尚未通过身份验证。使用$_SESSION检索(和设置)会话属性。在前面的示例中，如果没有设置任何一个属性，那么用户将获得到登录页面(login.php)或注册页面(register.php)的链接。如果设置了这两个属性，则欢迎用户进入系统。用户别无选择，只有登录才能访问该程序。此外，如前几章所述，对于更安全的程序，可以确定用户机器的 IP 地址和调用程序，以提供用户被授权的额外保证。

Example 7-1. The lab.php file with user ID/password verification

<?php

session_start();

if ((!isset($_SESSION['username'])) || (!isset($_SESSION['password']))) {

echo "You must login to access the ABC Canine Shelter Reservation System";

echo "<p>";

echo "<a href='login.php'>Login</a> | <a href='register.php'>Create an account</a>";

echo "</p>";

}

else

{

echo "<p>Welcome back, " . $_SESSION['username'] . "</p>";

?>

<!DOCTYPE html>

<html lan="en">

<head>

<title>Dog Object</title>

<script src="get_breeds.js"></script>

<script src="validator.js"></script>

<style type="text/css">

#JS { display:none; }

</style>

<script>

function checkJS() {

document.getElementById('JS').style.display = "inline";

}

</script>

</head>

<body onload="checkJS();">

<h1>Dog Object Creater</h1>

<div id="JS">

<form method="post" action="e5adog_interface.php" onSubmit="return validate_input(this)">

<h2>Please complete ALL fields. Please note the required format of information.</h2>

Enter Your Dog's Name (max 20 characters, alphabetic) <input type="text" pattern="[a-zA-Z]*" title="Up to 20 Alphabetic Characters" maxlength="20" name="dog_name" id="dog_name" required/><br /><br />

Select Your Dog's Color:<br />

<input type="radio" name="dog_color" id="dog_color" value="Brown">Brown<br />

<input type="radio" name="dog_color" id="dog_color" value="Black">Black<br />

<input type="radio" name="dog_color" id="dog_color" value="Yellow">Yellow<br />

<input type="radio" name="dog_color" id="dog_color" value="White">White<br />

<input type="radio" name="dog_color" id="dog_color" value="Mixed" checked >Mixed<br /><br />

Enter Your Dog's Weight (numeric only) <input type="number" min="1" max="120" name="dog_weight" id="dog_weight" required /><br /><br />

<script>

AjaxRequest('e5dog_interface.php');

</script>

<input type="hidden" name="dog_app" id="dog_app" value="dog" />

Select Your Dog's Breed <div id="AjaxResponse"></div><br />

<input type="submit" value="Click to create your dog" />

</form>

</div>

<noscript>

<div id="noJS">

<form method="post" action="e5adog_interface.php">

<h2>Please complete ALL fields. Please note the required format of information.</h2>

Enter Your Dog's Name (max 20 characters, alphabetic) <input type="text" pattern="[a-zA-Z ]*"title="Up to 20 Alphabetic Characters" maxlength="20" name="dog_name" id="dog_name" required/><br /><br />

Select Your Dog's Color:<br />

<input type="radio" name="dog_color" id="dog_color" value="Brown">Brown<br />

<input type="radio" name="dog_color" id="dog_color" value="Black">Black<br />

<input type="radio" name="dog_color" id="dog_color" value="Yellow">Yellow<br />

<input type="radio" name="dog_color" id="dog_color" value="White">White<br />

<input type="radio" name="dog_color" id="dog_color" value="Mixed" checked >Mixed<br /><br />

Enter Your Dog's Weight (numeric only) <input type="number" min="1" max="120" name="dog_weight" id="dog_weight" required /><br /><br />

Enter Your Dog's Breed (max 35 characters, alphabetic) <input type="text" pattern="[a-zA-Z ]*" title="Up to 15 Alphabetic Characters" maxlength="35" name="dog_breed" id="dog_breed" required /><br />

<input type="hidden" name="dog_app" id="dog_app" value="dog" />

<input type="submit" value="Click to create your dog" />

</form>

</div>

</noscript>

</body>

</html>

<?php

}

?>

在示例 7-1 中，验证码被放置在程序的顶部。else语句必须包含用户登录系统时要执行的所有代码。由于这个程序的代码是 HTML(和 CSS)代码，if语句必须包装在现有的代码中。else语句的右括号(s)被移到了代码的底部(所有 HTML 标签之后)。

PHP 允许你关闭你的 PHP 代码(通过?>)并根据需要多次重新打开你的 PHP 代码(通过<?php)。在这个例子中，PHP 代码被关闭在程序的顶部(在else语句中)，就在右括号之前。然后在代码底部重新打开 PHP 代码，加入一个右括号，关闭 PHP else语句。这将else语句包装在所有现有代码周围。用户现在只有登录后才能访问这部分代码。

由于 PHP 代码现在包含在实验室程序中，所以文件结尾必须从.html改为.php。否则服务器不会执行 PHP 代码。

现在让我们看看如何通过创建登录程序来填充会话属性。首先让我们看一下向用户请求信息的 HTML。

<form method="post" action="">

Username: <input type="text" pattern=".{8,}" title="Userid must contain eight or more characters." name="username" id="username" required/><br />

Password: <input type="password" pattern="(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{8,}" title="Password must contain at least one number, one uppercase and lowercase letter, and at least 8 total characters." name="password" id="password" required /><br />

<input type="submit" value="Login">

</form>

HTML5 不包括最小长度参数。但是，可以使用 pattern 参数(通过正则表达式)来建立最小大小。在前一个例子的username标签中，模式".{8,}"要求用户至少输入八个字符。对于密码安全性，需要一个更复杂的模式。在密码示例中，除了八个字符的最低要求之外，还需要至少一个数字(?=.*\d)、一个大写字母(?=.*[A-Z])和一个小写字母(?=.*[a-z])。

And security-HTML filtering is provided to inform users of any typos that may occur. During the login process, you did not store information; You are comparing information with stored information. You don't have to worry about any potentially harmful information being passed into the text box. Any harmful information will not match the stored valid information. The user will receive an invalid user ID/ password message.

// validate process not shown

$_SESSION['username'] = $_POST['username'];

$_SESSION['password'] = $_POST['password'];

// Redirect the user to the home page

header("Location:http://www.asite.com/lab.php

假设您已经根据有效的用户 id 和密码列表验证了信息(您将很快看到这个过程)，那么您可以将有效的用户 id 和密码信息传递到会话变量中。然后可以使用 PHP header 方法将应用重定向到下一个要执行的程序(lab.php)。只要lab.php包含了session_start方法(如前所示)，它就可以访问会话变量。

<?php

session_start();

if ((!isset($_POST['username'])) || (!isset($_POST['password'])))

{

?>

<form method="post" action="">

Username: <input type="text" pattern=".{8,}" title="Userid must contain eight or more characters." name="username" id="username" required/><br />

name="password" id="password" required /><br />

<input type="submit" value="Login">

</form>

<?php

} else {

// validate process not shown

$_SESSION['username'] = $_POST['username'];

$_SESSION['password'] = $_POST['password'];

// Redirect the user to the home page

header("Location:http://www.asite.com/lab.php

}

?>

将这些片段放在一起需要一个if语句来确定用户是否输入了用户 ID 和密码。如果用户没有这样做，将显示请求它们的 HTML 代码。如果信息已经输入(并且使用所示的 HTML5 模式表达式有效)，语句的else部分将执行(将值存储在会话变量中并调用lab.php程序)。这为您提供了接受用户 ID 和密码、验证它们是否存在以及在接口层调用程序(如果它们确实存在)的基本外壳。当然，你需要在调用程序之前验证用户 ID 和密码。

Programming considerations-Server variables PHP_AUTH_USER and PHP_AUTH_PW can be used for user ID and password verification instead of session variables. header('WWW-Authenticate: Basic realm="ABC Canine"'); header('HTTP/1.0 401 Unauthorized'); If the user does not enter a user ID/ password or a valid user ID/ password, an unauthorized header message may be created. This will automatically cause the system to ask the user to enter the user ID/ password. This technique is very simple. However, in the past, there were some reports that browsers could not use this technology properly. In addition, creating your own technology allows you to design a login screen with the same style as your website. For more information, please visit: http://php.net/manual/en/features.http-auth.php

$valid_useridpasswords = array ("sjohnson" => "N3working");

$valid_userids = array_keys($valid_useridpasswords);

$userid = $_SESSION['username'];

$password = $_SESSION['password'];

$valid = (in_array($userid, $valid_userids)) && ($password == $valid_useridpasswords[$userid]);

If($valid) { header("Location:http://www.asite.com/lab.php

有几种方法可以验证用户 id 和密码。如果您正在创建一个不需要更改用户 id 和密码的系统，您可以使用数组。在前面的例子中，$valid_useridpasswords associate 数组包含有效用户 id 和密码的组合。PHP 方法array_keys将所有的键(在本例中是用户 id)放入一个单独的数组中($valid_userids)。在将会话变量放入$userid和$password之后，PHP in_array方法用于确定用户 ID 和密码的正确组合是否存在。in_array确定用户 ID 是否存在于数组中。然后使用用户 ID 作为下标，从valid_useridpasswords数组中提取密码，并将其与$password中的值进行比较。如果用户 ID 存在并且密码相同，那么一切都是有效的。$valid将包含TRUE。如果其中一个(或两个)无效，$valid将包含FALSE。如果$valid是TRUE，应用重定向到lab.php程序。

从技术上讲，会话中的属性受到保护，不会被会话外的任何人访问。然而，过去曾有黑客程序破坏这种安全性并访问会话信息的报道。在本例中，如果用户 ID 和密码存储在会话变量中，并通过互联网传递给另一个程序，黑客就可以访问这些信息。

如果用户 ID 和密码存储在外部的文件或数据库中，这些信息也会在程序之外传播。一旦这些项目驻留在文件或数据库中，程序将不再控制它们的安全性。这可能会让黑客获得这些信息。如上所述，安全性必须是程序员、数据管理员和网络管理员的团队工作。

通常的做法是加密密码，以减少黑客发现认证信息(或任何其他安全信息)的机会。许多 PHP 书籍演示了 MD5 散列技术的使用。但是，在过去的几年中，这种加密方式中已经发现了漏洞。

PHP 5.5 包含了方法password_ hash，它将随着时间的推移进行调整，以使用最安全的加密散列技术。

Programming considerations-Be careful when storing encrypted versions of passwords. With the emergence of the new hash version, the size of the encryption result will increase. The size of 25 characters may be large enough for many years. The number of milliseconds required for this hash increases with the size and type of encryption. Advanced programmers may want to do some time cost tests on their servers. Visit http://php.net/manual/en/function.password-hash.php Learn more. Programming instructions-you can't simply compare with the hash password created by PHP's password_hash method. The generated hash of includes encryption type, salt value and hash password.

您只需要替换示例中的一行代码来验证密码。你可以替换

$valid = ((in_array($userid, $valid_userids)) && ($password == $valid_useridpasswords[$userid]));

随着

$valid =( (in_array($userid, $valid_userids)) && (password_verify($password, $valid_useridpasswords[$userid]));

如果将加密的密码放在$valid_useridpasswords数组中，验证技术就不需要任何其他的修改。PHP password_verify方法将加密用户提供的密码，并将其与现有的加密密码进行比较。如果匹配，它将返回TRUE。

当使用 XML 或 JSON 文件时，您可以使用在第六章的dogdata.php程序的构造函数中使用的相同逻辑，来检索有效的用户 id 和密码信息。唯一需要修改的是if语句，它决定了用户 ID 和密码文件的位置，还需要修改构造函数的最后一行，将生成的数组放在$valid_useridpasswords而不是dogs_array中。

<users>

<user>

<userid>Fredfred</userid>

<password>$2y$10$VosI32FejL.bOMaCjGbBp.Jre6Ipa.tLYQrVqj9kiVpef5zZ25qQK</password>

</user>

<user>

<userid>Petepete</userid>

<password>$2y$10$FdbXxIVXmVOHtaBNxB8vzupRBJFCqUyOTJXrlpNdrL0HKQ/U.jFHO</password>

</user>

</users>

假设 XML 与 dog 数据 XML 文件的格式相似(如图所示)，您可以使用相似的逻辑来检索信息。

$valid_useridpasswords = json_decode($json,TRUE);

$userid = $_POST['username'];

$password = $_POST['password'];

foreach($valid_useridpasswords as $users)

{

foreach($users as $user)

{

$hash = $user['password'];

if((in_array($userid, $user)) && (password_verify($password,$hash)))

{

$_SESSION['username'] = $userid;

$_SESSION['password'] = $hash;

header("Location: lab.php");

}

使用json_decode方法创建的数组与从dog_data XML 文件创建的数组格式相似。它需要两个foreach循环，一个循环遍历“用户”数组，另一个循环遍历“用户”数组。然后可以使用in_array方法来确定用户 ID 是否存在于用户数组中。如果是，使用 PHP 方法 password_verify 将密码与散列密码进行比较。此方法使用哈希密码的第一部分来检索关于加密技术和 salt 值的信息。salt 值是自动生成的值，用于生成哈希密码。如果密码匹配，用户 ID 和散列密码($hash)将保存为会话变量。然后调用主程序(参见示例 7-1 )。

Note

在 PHP 5.5 中，你可以调整盐值。在 PHP 7 中，这个选项被贬低了，因为它被认为是不必要的系统资源使用。

Example 7-2. The login.phpfile with XML user ID/password verification

<?php // same code as constructor from chapter``6

session_start();

try {

$user_log_file = "user.log";

if ((isset($_POST['username'])) || (isset($_POST['password'])))

{

libxml:use_internal_errors(true);

$xmlDoc = new DOMDocument();

if ( file_exists("e7dog_applications.xml") )

{

$xmlDoc->load( 'e7dog_applications.xml' );

$searchNode = $xmlDoc->getElementsByTagName( "type" );

foreach( $searchNode as $searchNode )

{

$valueID = $searchNode->getAttribute('ID');

if($valueID == "UIDPASS") // changed value to UIDPASS

{

$xmlLocation = $searchNode->getElementsByTagName( "location" );

// change $this->dog_data_xml to dog_data_xml

$dog_data_xml = $xmlLocation->item(0)->nodeValue;

break;

}

else

{

throw new Exception("Dog applications xml file missing or corrupt");

}

$xmlfile = file_get_contents($dog_data_xml);

$xmlstring = simplexml:load_string($xmlfile);

if ($xmlstring === false) {

$errorString = "Failed loading XML: ";

foreach(libxml:get_errors() as $error) {

$errorString .= $error->message . " " ; }

throw new Exception($errorString); }

$json = json_encode($xmlstring);

// changed array name to $valid_useridpasswords

$valid_useridpasswords = json_decode($json,TRUE);

// ...... code to verify userid and password ....

$userid = $_POST['username'];

$password = $_POST['password'];

foreach($valid_useridpasswords as $users) {

foreach($users as $user) {

$hash = $user['password'];

if((in_array($userid, $user)) && (password_verify($password,$hash))) {

$_SESSION['username'] = $userid;

$_SESSION['password'] = $password;

$login_string = date('mdYhis') . " | Login | " . $userid . "\n";

error_log($login_string,3,$user_log_file);

header("Location: e7lab.php");

} } } }

}

catch(Exception $e)

{

echo $e->getMessage();

}

// code below executes if the user has not logged in or if it is an invalid login.

?>

<form method="post" action="">

Userid must contain eight or more characters.<br/>

Password must contain at least one number, one uppercase and lowercase letter, and at least 8 total characters.<br />

Username: <input type="text" pattern=".{8,}" title="Userid must contain eight or more characters." name="username" id="username" required/><br />

name="password" id="password" required /><br />

<input type="submit" value="Login">

</form>

除了上面提到的代码，示例 7-2 还包括一个try catch块来捕捉抛出的异常，以及一个对用户日志文件的调用来记录成功登录到系统的情况。

JSON 数据

为了使用 JSON 数据而不是 XML 数据，示例 7-2 只需要包括第六章中所示的变更。userid和password JSON 数据也需要格式化，如图所示。

{"user":

[

{"userid":"Fredfred","password":"$2y$10$VosI32FejL.bOMaCjGbBp.Jre6Ipa.tLYQrVqj9kiVpef5zZ25qQK"},

{"userid":"Petepete","password":"$2y$10$FdbXxIVXmVOHtaBNxB8vzupRBJFCqUyOTJXrlpNdrL0HKQ\/U.jFHO"}

] }

mysql 日期

将用户 ID 和密码信息存储在数据库中更常见，通常也更安全。可以使用用户 id 和密码来保护数据库，用户 id 和密码还可以包括对信息的访问级别(只读、读取和写入)。即使有了这个安全级别，密码仍然应该被加密。

第六章中的 MySQL 构造器例子只需要很少的小改动就可以完成认证。

$mysqli =mysqli_connect($server, $db_username, $db_password, $database);

if (mysqli_connect_errno())

{

throw new Exception("MySQL connection error: " . mysqli_connect_error());

}

$sql="SELECT * FROM Users"; // Change the table used

$result=mysqli_query($con,$sql);

If($result===null)

{

throw new Exception("No records retrieved from Database");

}

$valid_useridpasswords = mysqli_fetch_assoc($result); // change the array used

mysqli_free_result($result);

mysqli_close($con);

这个示例代码将从数据库(Users)的一个表中提取信息，并将信息放在一个关联数组中(通过mysqli_fetch_assoc方法)。如果表中的字段与 XML 文件中的标记名相同(userid和password，那么构建的关联数组将类似于使用示例 7-2 中的代码构建的数组。所有先前的代码"// ...... code to verify userid and password ...."被此处显示的代码所取代。语句下面的代码应该不需要调整。

做它

Create a conversion program to determine the encrypted version of a password using the PHP method password_hash (see http://php.net/manual/en/function.password-hash.php ). Download the example files from this section. Add XML records to the uidpass file that could be used for access permissions (read only or read/write) and levels (user or administrator). Test to verify that the new uidpass file works correctly with the existing code. Make any necessary code changes to make it compatible. Download the example files from this section. Add code to the program to limit attempts to log in with a bad password to three. Record any invalid attempt to log in (after three tries) in the user log.

登记

除了授权用户登录之外，大多数系统还允许用户创建自己的用户 id 和密码。默认情况下，自建 id 的优先级最低。一旦创建了 ID，管理员就可以进入并增加权限级别。有些网站允许非注册用户(未登录的用户)。

非注册用户只应被授予对非特权信息的只读访问权限。非注册用户的安全风险更大，因为在安全漏洞期间很难确定他们的身份。PHP 提供了使用$_SERVER['REMOTE_ADDR']检索用户 IP 地址的能力。这可能会提供一些跟踪用户的能力。然而，许多用户使用免费的公共接入点，这会产生随机的 IP 地址。如果使用了这些点中的一个，追踪它们将会困难得多。

此外，为用户提供创建用户 id 和密码的机会允许程序收集有助于安全的附加信息(如姓名和电子邮件),并且还提供了向网站用户宣传网站的简单能力。对于已经熟悉网站的客户来说，销售网站上提供的产品的成功率会高得多。为了鼓励用户创建用户 id 和密码，网站应该为他们提供一些访问者无法获得的好处(比如访问帮助台)。

注册页面在许多方面与登录页面类似。但是，任何输入的有效用户 id 或密码都将被存储(而不是比较)。因为应用将更新有效 id 的列表，所以应用必须在更新之前验证信息。在验证dog类属性时，您可以使用以前使用过的一些技术。首先，当用户输入用户 ID 和密码(必须通过前面显示的 HTML5 验证)时，它被传递给一个 PHP 程序。即使在会话中被认为是安全的，信息也会从 HTML 表单传到 PHP 代码中。应该再次验证该信息。

if ((isset($_POST['username'])) || (isset($_POST['password'])))

{

$userid = $_POST['username'];

$password = $_POST['password'];

if (!(preg_match("/^.*(?=.{8,})(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).*$/", $password)) || (!(strlen($userid) >= 8)))

{

throw new Exception("Invalid Userid and/or Password Format");

}

else

这个if语句使用 PHP 函数preg_match来确定密码的格式是否包含一个大写字母、一个小写字母、一个数字和至少八个字符。请注意，正则表达式的格式与 HTML5 代码中使用的格式相同(表达式的顺序发生了变化，但它仍然包含相同的信息)。PHP strlen方法还检查用户 ID 以确定它有八个或更多的字符。

如果其中一个验证没有通过，程序就会引发一个Exception。如果两者都通过，则执行语句的else部分来加密密码并存储信息。

$password = password_hash($password, PASSWORD_DEFAULT);

$input = file_get_contents($dog_data_xml);

$find = "</users>";

$newupstring = "<user>\n<userid>" . $userid . "</userid>\n<password>" . $password;

$newupstring .= "</password>\n</user>\n</users>";

$find = preg_quote($find,'/');

$output = preg_replace("/^$find(\n|\$)/m","",$input);

$output = $output . $newupstring;

file_put_contents($dog_data_xml,$output);

$login_string = date('mdYhis') . " | New Userid | " . $userid . "\n";

error_log($login_string,3,$user_log_file);

header("Location: e7login.php");

在将密码插入 XML 文件之前，必须对其进行加密(哈希处理)。PHP 方法password_hash会将密码转换成之前显示的格式。

Programming considerations-password_hash provides many different options and configurations for advanced developers. For more information, please visit http://php.net/manual/en/function.password-hash.php .

file_get_contents将 XML 用户 ID/密码文件的内容转储到$input. preg_quote将在$find中的任何特殊字符旁边放置反斜杠(例如/users中包含的反斜杠)，以防止 PHP 试图将这些字符解释为正则表达式的一部分。preg_replace将使用正则表达式/^$find(\n|\$)/m搜索末尾有无(\n)的</users>。由于文件中的记录是由换行符决定的，这将确保您在文件中的行尾或者作为文件中的行的一部分找到</users>。当在文件中找到</users>(文件内容在$input)时，替换为""(空字符串)。preg_replace也将尝试在第二个参数中存在的任何字符串中放置反斜杠(""当前所在的位置)。如果$newupstring放在该参数中，加密的密码将被preg_replace修改。这将导致密码无法验证，即使用户输入的密码是正确的。

因此，$newupstring的内容(新用户信息)被附加到$output。然后用$output字符串替换用户 ID/密码 XML 文件的所有内容。一旦成功保存了该信息，用户日志将更新以指示新用户 ID 的创建，并且用户将被重定向到登录屏幕，以使用新用户 ID 和密码登录到应用。

或者，可以使用前面的过程，将文件加载到关联数组中，更新关联数组，然后将关联数组加载回 XML 文件。但是，这会占用更多的代码，而且这是不必要的，因为这个过程在应用中只使用一次。该程序不会多次尝试用同一用户更新用户 ID 和密码文件。

Example 7-3. The registration.php file

<?php

session_start();

$user_log_file = "user.log";

try

{

if ((isset($_POST['username'])) || (isset($_POST['password'])))

{

$userid = $_POST['username'];

$password = $_POST['password'];

if (!(preg_match("/^.*(?=.{8,})(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).*$/", $password)) || (!(strlen($userid) >= 8)))

{

throw new Exception("Invalid Userid and/or Password Format");

}

else

{

libxml:use_internal_errors(true);

$xmlDoc = new DOMDocument();

if ( file_exists("e7dog_applications.xml") )

{

$xmlDoc->load( 'e7dog_applications.xml' );

$searchNode = $xmlDoc->getElementsByTagName( "type" );

foreach( $searchNode as $searchNode )

{

$valueID = $searchNode->getAttribute('ID');

if($valueID == "UIDPASS")

{

$xmlLocation = $searchNode->getElementsByTagName( "location" );

$dog_data_xml = $xmlLocation->item(0)->nodeValue;

break;

}

else

{

throw new Exception("Dog applications xml file missing or corrupt");

}

} else {

throw new Exception("Dog applications xml file missing or corrupt");

}

$password = password_hash($password, PASSWORD_DEFAULT);

$input = file_get_contents($dog_data_xml);

$find = "</users>";

$newupstring = "<user>\n<userid>" . $userid . "</userid>\n<password>" . $password . "</password>\n</user>\n</users>";

$find_q = preg_quote($find,'/');

$output = preg_replace("/^$find_q(\n|\$)/m",$newupstring,$input);

file_put_contents($dog_data_xml,$output);

$login_string = date('mdYhis') . " | New Userid | " . $userid . "\n";

error_log($login_string,3,$user_log_file);

header("Location: e7login.php");

} } }

catch(Exception $e) { echo $e->getMessage(); }

?>

<form method="post" action="">

Userid must contain eight or more characters.<br/>

Password must contain at least one number, one uppercase and lowercase letter, and at least 8 total characters.<br />

Username: <input type="text" pattern=".{8,}" title="Userid must contain eight or more characters." name="username" id="username" required/><br />

name="password" id="password" required /><br />

<input type="submit" value="submit">

</form>

JSON 数据

JSON 数据只需要几处细微的改动。

{"user":

[

{"userid":"Fredfred","password":"$2y$10$VosI32FejL.bOMaCjGbBp.Jre6Ipa.tLYQrVqj9kiVpef5zZ25qQK"},

{"userid":"Petepete","password":"$2y$10$FdbXxIVXmVOHtaBNxB8vzupRBJFCqUyOTJXrlpNdrL0HKQ\/U.jFHO"}

] }

数据以]}的组合结束，这种组合不会在其他地方出现。$find可以设置为这个value ($set = "]}";)。$newupstring值也可以更改为:

$newupstring = ',{"userid":"' . $userid . '","password":"' . $password . '"}\n]}';

这两个更改(以及前面的更改)将使用新的用户 ID/密码组合更新 JSON 文件。

mysql 日期

MySQL 还需要一些改变。使用password_hash加密密码后，可以打开数据库，插入记录，然后关闭数据库。

$password = password_hash($password, PASSWORD_DEFAULT);

$mysqli =mysqli_connect($server, $db_username, $db_password, $database);

if (mysqli_connect_errno())

{

throw new Exception("MySQL connection error: " . mysqli_connect_error());

}

$sql="INSERT INTO Users (userid, password) VALUES('" . $userid . "','" . $password . "');";

$result=mysqli_query($con,$sql);

If($result===null)

{

throw new Exception("Userid/Password not added to Database");

}

mysqli_close($con);

$login_string = date('mdYhis') . " | New Userid | " . $userid . "\n";

error_log($login_string,3,$user_log_file);

header("Location: e7login.php");

除了为用户提供创建自己的用户 id 和密码的能力之外，应用还应该为他们提供更改密码的能力。提供密码过期日期限制的能力非常有利于提高安全性。每当用户登录时，可以对这个值进行比较。如果当前日期比保存日期早了超过xx天，用户将被要求更改密码。

由于密码嗅探器程序会尝试猜测密码，因此限制使用正确的用户 ID 和密码组合登录的尝试次数也是一个好主意。这将减少密码嗅探程序生成正确组合的机会。在达到最大尝试次数后的一段时间内不允许有效登录，这一点很重要。尽管这让用户感到沮丧，但它减少了密码嗅探程序发现正确组合的机会。如果程序不知道尝试已经超时，它将收到无效的用户 ID/密码消息，即使它在超时期间猜出了正确的组合。这些调整将需要用户 ID/密码文件(或数据库)的附加字段。

<users>

<user>

<userid>Fredfred</userid>

<password>$2y$10$VosI32FejL.bOMaCjGbBp.Jre6Ipa.tLYQrVqj9kiVpef5zZ25qQK</password>

<datestamp>2015-09-03</datestamp>

<attempts>0</attempts>

<lastattempt>08052015044229</lastattempt>

<validattempt>08052015045431</validattempt>

</user>

<user>

<userid>Poppoppop</userid>

<password>$2y$10$C1jXhTl0myamuLKhZxK5m.4X4TVcdeFbeLSBIA7l4fx6tUnC8vrg6</password>

<datestamp>2015-06-04</datestamp>

<attempts>1</attempts>

<lastattempt>08062015113200</lastattempt>

<validattempt>08062015113038</validattempt>

</user>

</users>

可以在registration.php程序中调整$newupstring(例如 7-3 )来添加认证字段。

$newupstring = "<user>\n<userid>" . $userid . "</userid>\n<password>" . $hashed_password . "</password>\n";

$newupstring .= "<datestamp>" . date('Y-m-d', strtotime('+30 days')) . "</datestamp>\n";

$newupstring .= "<attempts>0</attempts>\n<lastattempt>" . date('mdYhis') . "</lastattempt>\n";

$newupstring .= "<validattempt>" . date('mdYhis') . "</validattempt>\n</user>\n</users>";

PHP 方法strtotime将解析任何标准的日期和时间格式，并尝试将其转换为 UNIX 日期和时间格式(PHP 使用的格式)。在此示例中，该方法提供了向当前日期添加 30 天的能力，这反过来将用于确定密码是否已过期。或者，当批量创建用户 id 时(例如在课程管理系统中填充学生 id)，可以在该字段中放置过期日期(例如当前日期的前一天)。这将迫使用户在首次登录系统时更改密码。过期日期存储在datestamp中，供用户登录系统时使用。

在示例中,attempts标记将记录用户尝试使用错误的用户 ID 密码组合登录的次数(当有效登录发生时重置为零)。如果lastattempt中的日期和时间在五分钟内，并且尝试次数的值为3或更大，用户必须等待，直到自上次尝试登录以来超过五分钟。与大多数登录系统一样，即使用户使用有效信息登录，最后一次无效登录也必须是在五分钟或更久之前。最后有效的登录日期和时间也记录在validattempt标签中。尽管在本例中这并不用于身份验证，但跟踪所有有效的登录是很重要的。

为了使程序主体部分的代码尽可能简单，查找用户 ID 和密码文件位置的代码被移到了方法retrieve_useridpasswordfile中。将数据保存在 XML 文件中也被移到了方法saveupfile中。这些方法的代码没有发生任何变化(除了前面提到的添加了更多的 XML 标记)。

Example 7-4. The login.php file with password timeout and three tries timeout

<?php

session_start();

$user_log_file = "user.log";

$passed = FALSE;

function saveupfile($dog_data_xml,$valid_useridpasswords)

{

$xmlstring = '<?xml version="1.0" encoding="UTF-8"?>';

$xmlstring .= "\n<users>\n";

foreach($valid_useridpasswords as $users)

{

foreach($users as $user)

{

$xmlstring .="<user>\n<userid>" . $user['userid'] . "</userid>\n";

$xmlstring .="<password>" . $user['password'] . "</password>\n";

$xmlstring .="<datestamp>" . $user['datestamp'] . "</datestamp>\n";

$xmlstring .= "<attempts>" . $user['attempts'] . "</attempts>\n";

$xmlstring .= "<lastattempt>" . $user['lastattempt'] . "</lastattempt>\n";

$xmlstring .= "<validattempt>" . $user['validattempt'] . "</validattempt>\n</user>\n";

}

$xmlstring .= "</users>\n";

$new_valid_data_file = preg_replace('/[0-9]+/', '', $dog_data_xml);

// remove the previous date and time if it exists

$oldxmldata = date('mdYhis') . $new_valid_data_file;

if (!rename($dog_data_xml, $oldxmldata))

{

throw new Exception("Backup file $oldxmldata could not be created.");

}

file_put_contents($new_valid_data_file,$xmlstring);

}

function retrieve_useridpasswordfile()

{

$xmlDoc = new DOMDocument();

if ( file_exists("e7dog_applications.xml") )

{

$xmlDoc->load( 'e7dog_applications.xml' );

$searchNode = $xmlDoc->getElementsByTagName( "type" );

foreach( $searchNode as $searchNode )

{

$valueID = $searchNode->getAttribute('ID');

if($valueID == "UIDPASS")

{

$xmlLocation = $searchNode->getElementsByTagName( "location" );

$dog_data_xml = $xmlLocation->item(0)->nodeValue;

break;

}

else

{

throw new Exception("Dog applications xml file missing or corrupt");

}

return $dog_data_xml;

}

try {

if ((isset($_POST['username'])) && (isset($_POST['password'])))

{

libxml:use_internal_errors(true);

$dog_data_xml = retrieve_useridpasswordfile();

$xmlfile = file_get_contents($dog_data_xml);

$xmlstring = simplexml:load_string($xmlfile);

if ($xmlstring === false) {

$errorString = "Failed loading XML: ";

foreach(libxml:get_errors() as $error) {

$errorString .= $error->message . " " ; }

throw new Exception($errorString); }

$json = json_encode($xmlstring);

$valid_useridpasswords = json_decode($json,TRUE);

$userid = $_POST['username'];

$password = $_POST['password'];

$I = 0;

$passed = FALSE;

foreach($valid_useridpasswords as $users)

{

foreach($users as $user)

{

if (in_array($userid, $user)) {

$hash = $user['password'];

$currenttime = strtotime(date('Y-m-d'));

$stamptime = strtotime($user['datestamp']);

if ($currenttime > $stamptime) {

// password expired force password change

header("Location: e7changepassword.php");

}

if (($user['attempts'] < 3) || ( date('mdYhis', strtotime('-5 minutes')) >= $user['lastattempt']))

{

$hash = $user['password'];

if(password_verify($password,$hash))

{

$passed = TRUE;

$valid_useridpasswords['user'][$I]['validattempt'] = date('mdYhis');

// shows last time successful login

$valid_useridpasswords['user'][$I]['attempts'] = 0;

// successful login resets to zero

$_SESSION['username'] = $userid;

$_SESSION['password'] = $password;

saveupfile($dog_data_xml,$valid_useridpasswords);

// save changes before header call

$login_string = date('mdYhis') . " | Login | " . $userid . "\n";

error_log($login_string,3,$user_log_file);

header("Location: e7lab.php");

}

else {

$valid_useridpasswords['user'][$I]['lastattempt'] = date('mdYhis');

// last attempted login

} } }

$I++;

} }

// drops to here if not valid password/userid or too many attempts

if (!$passed) {

$I--;

echo "Invalid Userid/Password";

$valid_useridpasswords['user'][$I]['attempts'] = $user['attempts'] + 1;

// add 1 to attempts

// if not successful must save the values

saveupfile($dog_data_xml,$valid_useridpasswords);

} } }

catch(Exception $e)

{ echo $e->getMessage(); }

?>

form method="post" action="">

Userid must contain eight or more characters.<br/>

Password must contain at least one number, one uppercase and lowercase letter, and at least 8 total characters.<br />

Username: <input type="text" pattern=".{8,}" title="Userid must contain eight or more characters." name="username" id="username" required/><br />

name="password" id="password" required /><br />

<input type="submit" value="Login">

</form>

在示例 7-4 中，if语句使用datestamp中保存的日期/时间检查当前日期/时间。如果当前日期/时间超出datestamp中的值超过 30 天，则调用密码更改(changepassword)程序。下一个if语句确定用户的无效登录尝试是否少于三次，并且距离上次尝试已经超过五分钟。如果是这种情况，PHP 方法password_verify会将用户输入的密码与 XML 文件中包含的密码进行比较。如果密码匹配，validattempts值将更新为日期/时间，尝试次数将重置为 0，用户 ID 和密码将保存在会话变量中。然后保存对 XML 文件的更改。此外，用户登录记录在日志文件中。如果密码不匹配，则用当前日期/时间更新lastattempt值。

由于有效的登录或过期的密码将导致应用使用 PHP header 方法重定向到不同的程序，如果用户 id 和密码组合无效，或者如果在五分钟内尝试了太多次，程序将只执行最后一个if语句。出现这种情况时，显示"invalid /password"消息，尝试次数增加 1。然后保存对 XML 文件的更改。该程序将继续显示用户 ID 和密码框，并显示"invalid userid/password"消息。如上所述，即使在五分钟内输入了有效的用户 ID/密码组合，或者输入了三个或更多的无效条目(按顺序)，也会被拒绝。

JSON 数据

JSON 数据需要一些修改来容纳额外的字段。

{"user":[

{"userid":"Fredfred","password":"$2y$10$VosI32FejL.bOMaCjGbBp.Jre6Ipa.tLYQrVqj9kiVpef5zZ25qQK","datestamp":"2015-09-03","attempts":"0","lastattempt":"08052015044229","validattempt":"08052015045431"},

{"userid":"Poppoppop","password":"$2y$10$C1jXhTl0myamuLKhZxK5m.4X4TVcdeFbeLSBIA7l4fx6tUnC8vrg6","datestamp":"2015-09-04","attempts":"2","lastattempt":"08062015011347","validattempt":"08062015113038"}

]}

由于这些新字段的出现,$newupstring也需要改变。如前所述，一些代码的位置也会移动到方法上。

$newupstring = ',{"userid":"' . $user['userid'] . '","password":"' . $user['password'] . '","';

$newupstring .= 'datestamp":"' . $user['datestamp'] . '","attempts":"' . $user['attempts'] . "',"';

$newupstring .= 'lastattempt":"' . $user['lastattempt'] . '","validattempt":"' . $user['validattempt'] .'"';

$newupstring .= '"}\n]}';

mysql 日期

MySQL 登录代码要求使用UPDATE语句(而不是INSERT语句，如注册代码所示)来更新任何已更改的字段。此外，第四章中的方法应该用来从userid字段中删除任何有害的 PHP 和 SQL 语句。这将有助于减少 SQL 注入发生的可能性，它可能导致 SQL 语句更改的不仅仅是必需的字段和记录。例如，如果$user['userid']字段包含'*'，那么所有记录都将被更新，而不仅仅是一个具有有效用户 id 的记录。

在执行UPDATE语句之前，用户 ID 也可以被验证为存在于数据库中。这(假设数据库中的所有数据都是有效的)也会减少有害更改的机会。

在下面的示例中，所有可能的文件都被一次更新。或者，只有那些改变的字段可以在需要时被更新。然而，这将需要更多的代码，并不一定更有效。此外，如果事先没有验证用户 ID 是否存在于数据库中，如果userid不在数据库中，SQL 语句将自动不更新字段。

$userid = clean_input($user['userid']);

$sql ="UPDATE Users SET(datestamp='" . $user['datestamp'] . "',attempts='";

$sql .=$user['attempts'] . "',lastattempt='" . $user['lastattempt'] . "',";

$sql .="validattempt='" . $user['validattempt'] . "') WHERE userid='" . $userid . "';";

注意，UPDATE代码不包括WHERE语句中的密码字段。在这个例子中，当密码无效时，一些字段将被更新，而当密码有效时，一些字段将被更新。如果 SQL 语句被分解成多个语句(至少一个用于有效用户 id/密码，一个用于无效用户/密码)，那么用于有效信息的WHERE语句可以包括用户 ID 和密码，而用于无效信息的语句可以只包括密码。本书网站第七章的中包含了一个使用 MySQL 数据库的完整登录、注册和密码更改应用的例子。

修改口令

更改密码的过程需要验证当前密码，然后保存新密码。它还需要从 XML 文件中更新包含在datestamp标签中的日期。程序代码与登录程序非常相似。

$userid = $_POST['username'];

$npassword = $_POST['password'];

$newpassword = password_hash($npassword, PASSWORD_DEFAULT);

$password = $_POST['oldpassword'];

$datestamp = date('Y-m-d', strtotime('+30 days'));

$I = 0;

$passed = FALSE;

// First a few properties are set for the userid, new userid, and the new datestamp.

$hash = $user['password'];

if(password_verify($password,$hash))

{

$passed = TRUE;

$valid_useridpasswords['user'][$I]['password'] = $newpassword;

$valid_useridpasswords['user'][$I]['datestamp'] = $datestamp;

$valid_useridpasswords['user'][$I]['attempts'] = 0;

saveupfile($dog_data_xml,$valid_useridpasswords); // save changes before header call

$login_string = date('mdYhis') . " | Password Changed | " . $userid . "\n";

error_log($login_string,3,$user_log_file);

header("Location: e7logina.php");

}

else

{

$valid_useridpasswords['user'][$I]['lastattempt'] = date('mdYhis'); // last attempted login

}

如果用户 ID 和旧密码被正确验证，那么新的password、datestamp和attempts属性在 XML 文件中被更改和更新。日志文件中也会有一个条目。如果密码未通过验证，将显示一条"invalid userid/password"消息。

Example 7-5. The changepassword.php file

<?php

session_start();

$user_log_file = "user.log";

function saveupfile($dog_data_xml,$valid_useridpasswords)

{

$xmlstring = '<?xml version="1.0" encoding="UTF-8"?>';

$xmlstring .= "\n<users>\n";

foreach($valid_useridpasswords as $users)

{

foreach($users as $user)

{

$xmlstring .="<user>\n<userid>" . $user['userid'] . "</userid>\n";

$xmlstring .="<password>" . $user['password'] . "</password>\n";

$xmlstring .="<datestamp>" . $user['datestamp'] . "</datestamp>\n";

$xmlstring .= "<attempts>" . $user['attempts'] . "</attempts>\n";

$xmlstring .= "<lastattempt>" . $user['lastattempt'] . "</lastattempt>\n";

$xmlstring .= "<validattempt>" . $user['validattempt'] . "</validattempt>\n</user>\n";

}

$xmlstring .= "</users>\n";

new_valid_data_file = preg_replace('/[0-9]+/', '', $dog_data_xml);

// remove the previous date and time if it exists

$oldxmldata = date('mdYhis') . $new_valid_data_file;

if (!rename($dog_data_xml, $oldxmldata)) {

throw new Exception("Backup file $oldxmldata could not be created."); }

file_put_contents($new_valid_data_file,$xmlstring); }

function retrieve_useridpasswordfile() {

$xmlDoc = new DOMDocument();

if ( file_exists("e7dog_applications.xml") )

{

$xmlDoc->load( 'e7dog_applications.xml' );

$searchNode = $xmlDoc->getElementsByTagName( "type" );

foreach( $searchNode as $searchNode )

{

$valueID = $searchNode->getAttribute('ID');

if($valueID == "UIDPASS")

{

$xmlLocation = $searchNode->getElementsByTagName( "location" );

$dog_data_xml = $xmlLocation->item(0)->nodeValue;

break;

}

else {

throw new Exception("Dog applications xml file missing or corrupt");

}

return $dog_data_xml;

}

if (!(isset($_SESSION['message']))) {

// valid userid and password but password expired

echo $_SESSION['message'];

}

try {

if((isset($_POST['username'])) && (isset($_POST['oldpassword'])) && (isset($_POST['password'])) && (isset($_POST['password_confirm'])))

{

libxml:use_internal_errors(true);

$dog_data_xml = retrieve_useridpasswordfile();

$xmlfile = file_get_contents($dog_data_xml);

$xmlstring = simplexml:load_string($xmlfile);

if ($xmlstring === false) {

$errorString = "Failed loading XML: ";

foreach(libxml:get_errors() as $error) {

$errorString .= $error->message . " " ; }

throw new Exception($errorString); }

$json = json_encode($xmlstring);

$valid_useridpasswords = json_decode($json,TRUE);

$userid = $_POST['username'];

$npassword = $_POST['password'];

$newpassword = password_hash($npassword, PASSWORD_DEFAULT);

$password = $_POST['oldpassword'];

$datestamp = date('Y-m-d', strtotime('+30 days'));

$I = 0;

$passed = FALSE;

foreach($valid_useridpasswords as $users) {

foreach($users as $user) {

if (in_array($userid, $user)) {

$hash = $user['password'];

if(password_verify($password,$hash))

{

$passed = TRUE;

$valid_useridpasswords['user'][$I]['password'] = $newpassword;

$valid_useridpasswords['user'][$I]['datestamp'] = $datestamp;

$valid_useridpasswords['user'][$I]['attempts'] = 0;

saveupfile($dog_data_xml,$valid_useridpasswords);

// save changes before header call

$login_string = date('mdYhis') . " | Password Changed | " . $userid . "\n";

error_log($login_string,3,$user_log_file);

header("Location: e7login.php");

} }

$I++;

} }

// drops to here if not valid password/userid or too many attempts

if (!$passed){

echo "Invalid Userid/Password";

} } }

catch(Exception $e) {

echo $e->getMessage();

}

?>

<form method="post" action="">

Userid must contain eight or more characters.<br/>

Password must contain at least one number, one uppercase and lowercase letter, and at least 8 total characters.<br />

Username: <input type="text" pattern=".{8,}" title="Userid must contain eight or more characters." name="username" id="username" required/><br />

Old Password: <input type="password" pattern="(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{8,}" title="Password must contain at least one number, one uppercase and lowercase letter, and at least 8 total characters." name="oldpassword" id="oldpassword" required /><br />

New Password: <input type="password" pattern="(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{8,}" title="Password must contain at least one number, one uppercase and lowercase letter, and at least 8 total characters." name="password" id="password" required /><br />

Confirm Password:<input name="password_confirm" required="required" type="password" id="password_confirm" oninput="check(this)" />

<script language='javascript' type='text/javascript'>

function check(input) {

if (input.value != document.getElementById('password').value) {

input.setCustomValidity('Password Must be Matching.');

} else {

// input is valid -- reset the error message

input.setCustomValidity('');

}

</script>

<input type="submit" value="submit">

</form>

除了已经解释过的 PHP 之外，示例 7-5 还包括 JavaScript 代码，用于验证新密码的正确格式以及新密码的正确输入两次。示例中没有包含对 PHP 代码中正确的用户 ID 和密码条目的验证。因为信息通过互联网从表单传输到 PHP 程序，所以用户 ID 和密码也应该在 PHP 程序中进行验证。该编码作为本节的练习。

JSON 数据

本章前面的 JSON 部分指出了修改密码程序处理 JSON 数据所需的唯一修改。

mysql 日期

UPDATE SQL 语句需要“设置”password 属性，其结构与前面 MySQL 部分中更改的其他字段的结构相同。使用 MySQL 的完整认证程序包含在本书网站的第七章中。

做它

Copy the example files for this section from the book’s web site. Adjust the change password program to include PHP code that verifies the correct format of the user ID, password, and new password. Copy the example files for this chapter from the book’s web site. Adjust the registration program to check for a duplicate user ID before attempting to insert a new user ID/password combination. Hint: This can be done using the in_array method. If the user ID exists, display a message back to the users. Copy the example files for this section from the book’s web site. Adjust the programs necessary to require the users to also enter their name, phone, and e-mail when registering. Also make sure to change the other programs to keep this information valid.

章节术语

| 证明 | 会议 | | 会话 _ 开始 | 没错 | | 会话属性 | $_ 会话 | | 验证码 | .{8,} | | ？=.*\d | ？=.*[A-Z] | | ？=.*[a-z] | 页眉 | | 数组 _ 关键字 | 密码哈希 | | 密码 _ 验证 | 非注册用户 | |$ _ 服务器['远程 _ADDR'] | 注册页面 | | 怀孕 _ 匹配 | 字符长度（stringlength） | | 文件获取内容 | 怀孕 _ 报价 | | 怀孕 _ 替换 | 密码过期 | | 密码嗅探程序 | 有限的尝试次数 | | 超时时间 | strtotime | | SQL 注入 | |

第二章问题和项目

多重选择

Authentication does which of the following? Provides security for an application. Verifies user IDs and passwords. Should use encrypted passwords. All of the above. Sessions do which of the following? Are created using the session_create method Allow the sharing of information between programs Don’t provide any security benefits All of the above Registration pages do which of the following? Allow the users to create their own user IDs and passwords Can be used to gather information about the users Should encrypt the password before storing it All of the above Verification code does which of the following? Uses session_start to attach the program to a current session Verifies that a user has logged in Must be attached only to programs in the interface tier All of the above Which of these describes SQL injection? The process of using an SQL statement to update a database The process of inserting variables in a SQL statement for flexibility Causes data to be corrupted All of these

真/假

MD5 is the most up-to-date and secure encryption technique. password_hash should be used to create an encrypted password. Users should be notified that they have exceeded the maximum number of attempts to enter a correct user ID and password. An authentication system does not need to timeout passwords and force its users to change their passwords when they time out. preg_replace can be used with an encrypted password to ensure that PHP does not interpret special characters as PHP commands.

简答/短文

Explain the techniques that can be used to reduce the chances that a password sniffing program can discover the correct user ID and password combination. Explain how sessions work. Include an explanation on how they can help secure an application with user ID and password authentication. What is SQL injection? How can it be avoided? Why should passwords be encrypted? Explore the Internet and discover the latest versions of encryption. Does the most current version of PHP use the newest version of encryption?

项目

Download log maintenance files from Chapter 6 or use your own maintenance files that you created from Chapter 6. Use the techniques shown in this chapter to secure these files with user ID and password authentication. Download the files from this chapter. Update the files and programs so users can request their passwords. A temporary password (new field in the XML file) must randomly be created (use rand) and e-mailed to the users. The password should have a quick expiration (one day or less). The user must be able to verify other information entered via the registration page (security question, or other personal info) to request the password. If the user signs in correctly with the temporary password, the system should make the user change the password.

学期项目

Update the ABC Computer Parts Inventory application to include user ID and password authentication as shown in this chapter. Be sure to secure any log maintenance programs related to the application.

八、多功能接口

Electronic supplementary material The online version of this chapter (doi:10.1007/978-1-4842-1730-6_8) contains supplementary material, which is available to authorized users.

努力工作不会导致死亡，但为什么要冒险呢—埃德加·伯根( http://coolfunnyquotes.com )

章节目标/学生学习成果

完成本章后，学生将能够:

创建一个完整的 PHP 应用来删除、更新和插入数据
使用 CSS 创建完整应用的专业外观
使用 JavaScript 接受和操作来自另一个程序的数据
保护需要用户 id/密码的应用中的所有程序
用 JSON 对象的值填充 HTML 对象
创建一个使用当前密码加密技术的 PHP 程序

完整的应用

在本章中，您将完成 ABC 犬类收容所预订系统的开发。该系统的当前版本允许用户仅插入一只狗，然后要求他们再次登录以插入额外的狗。此外，该系统不允许用户更新或删除系统中存在的狗信息。在第六章(数据对象)中，你已经完成了提供更新和删除功能所需的大部分 PHP 代码。您现在需要将数据对象的这一部分(dog_data)附加到业务规则层(dog)。此外，您需要对接口层(dog_interface和lab)进行一些更改，以调用update和delete方法并显示结果。所需的大部分编码(您很快就会看到)将发生在lab.php文件中。所以你将从这些改变开始。

使用 JavaScript 的数据处理

当前的lab.php文件只允许用户输入将被插入数据存储(XML、JSON 或 MySQL)的狗的信息。该界面需要修改，以允许用户指出他们想完成什么活动(Insert、Update或Delete)。它还需要允许用户选择一个当前的狗，如果这个过程涉及更新或删除。这应该，希望，表明你将需要一个列表框，其中填充了当前位于收容所的狗的信息。

在本章的后面几节中，你将会看到 PHP 的必要修改。现在，让我们假设dog_interface(接口层)将返回该信息，该信息是通过dog方法(业务规则层)从dog_data(数据层)检索的。你还将假设类似的编码dog_breeds程序(第四章)将被创建来产生一个狗列表框。

此外，lab.php需要访问被选中的特定狗的所有信息。代码需要将所有信息放在dog_name和dog_weight文本框、dog_breeds列表框和dog_color单选按钮中。你可以用两种方式完成这项任务。一种是允许用户从列表框中选择狗，然后调用dog_interface程序从狗类中请求特定的狗，这又会从dog_data类中请求信息。然而，这需要通过互联网进行额外的、不必要的呼叫来请求信息。相反，您可以在用户第一次调用lab.php接口时收集所有必要的信息(dog_breed列表框信息、dogs列表框信息以及当前数据存储中所有狗的完整信息)。您可以使用当前的 JavaScript AJAX 代码(第四章)进行一些修改来检索所有必要的信息。

在填充表单对象(文本框、列表框和单选按钮)之前，您必须确保用户指明请求的操作类型(至少是插入或更改/删除)。您可以通过在做出选择之前不显示表单对象来实现这一点。您可以对第四章中使用的 JavaScript 代码和 CSS 代码的组合稍作调整，要求用户在显示表单之前从狗列表框中进行选择。

Note

您将要看到的过程是 web 应用中非常常见的实践。许多 web 应用以数组、JSON 或 XML 格式返回数据。然后，接口(在本例中为lab.php)可以使用 JavaScript 来检索所需的信息。

编程注意事项——购物车使用类似的技术。当顾客选择要购买的商品时，这些商品被放在客户机上的一个数据对象(可能是一个 JSON 对象)中。当顾客开始结账时，数据被传输到服务器。这允许客户进行不会导致对服务器的额外调用的更改。由于购买信息不被视为安全风险，这通常是一个安全的过程。当然，这不是处理信用卡信息的好方法。

使用图 8-1 所示的格式，用户被迫在继续之前从列表框中选择NEW或一只狗。一旦用户做出选择，HTML 表单可以显示默认值(对于插入)或所选狗的当前值。CSS 代码最初会将按钮(和表单)显示为"none"。JavaScript 代码(您很快就会看到)会将正确按钮和表单的显示更改为"inline"，以便在适当的时候显示。

图 8-1。

The lab.php file with dogs list box

图 8-2 展示了用户选择新建时的结果。如前几章所示，提供了相同的默认值。唯一的视觉变化是输入按钮的文本。当用户没有启用 JavaScript 时，这种方法就会出现弱点。对于本例，如果没有启用 JavaScript，您将需要输入所有信息。您可以从dog_data类请求单只狗的信息(通过Dog类)。虽然这种方法不如您将要使用的 JavaScript 方法高效，但它比要求输入所有信息更方便用户。

图 8-2。

The lab.php file with NEW selected

图 8-3 显示了选择现有狗的结果。列表框显示狗的名字和品种(使其尽可能独特)。此外，还可以提供狗 ID 来识别特定的狗。当狗被选中时，狗的信息(dog_name、dog_color、dog_weight和dog_breed)被填充到表格中。然后，用户可以更新或删除狗的信息。

图 8-3。

The lab.php file with a dog selected Note

如前几章所述，本例中提供的代码不限制重复条目。因此，在真实环境中，需要使用一个附加字段(狗 ID)来使狗具有唯一性。

以前，当发生insert时，系统会显示一条消息，表明更改成功。如果需要另一个更改，用户需要重新加载lab.php文件。您可以通过让dog_interface程序用要返回的消息设置一个会话属性来解决这个问题。然后，dog_interface可以调用lab.php文件，后者可以检查是否有消息要显示。

图 8-4。

The lab.php file handling message from dog_interface

您将使用 PHP 代码、JavaScript 代码和 CSS 代码的组合来创建想要的结果。我们来分解一下。

<?php

session_start();

if ((!isset($_SESSION['username'])) || (!isset($_SESSION['password']))) {

echo "You must login to access the ABC Canine Shelter Reservation System";

echo "<p>";

echo "<a href='e8login.php'>Login</a> | <a href='e8register.php'>Create an account</a>";

echo "</p>";

}

else if(($_SERVER['HTTP_REFERER'] == 'http://127.0.0.1:8080/mysite/bgchapter8/ExampleFile8/e8login.php') || ($_SERVER['HTTP_REFERER'] == 'http://127.0.0.1:8080/mysite/bgchapter8/ExampleFile8/e8lab.php

{

if (isset($_SESSION['message'])) {

echo $_SESSION['message'];

}

else {

echo "<p>Welcome back, " . $_SESSION['username'] . "</p>";

}

?>

实验程序顶部的 PHP 代码现在将包括一个额外的检查，以确定是否有消息被返回。虽然语句的if部分不需要任何修改，但是else部分有一些额外的修改。注意，新的if语句检查实验室程序是否被自己调用。当dog_interface使用header方法调用lab.php时，$_SERVER['HTTP_REFERER']方法返回lab.php作为调用程序。此外，同一个if语句还检查login.php是否调用了lab。现在只有这两个合法的调用可以调用lab.php程序。

else块中的另一个if语句检查是否通过使用isset方法返回了一个$_SESSION['message']。如果已经返回，那么lab.php是被dog_interface调用的，因为登录不返回一个$_SESSION['message']。实验室程序现在显示消息。如果没有$_SESSION['message']，则显示欢迎消息。

现在让我们跳到lab. php中的 HTML 代码。然后，您将看一看 CSS 和 JavaScript 代码。

<body onload="checkJS();">

<h1>ABC Canine Shelter Reservation System</h1>

<div id="JS">

<script>

AjaxRequest('e8dog_interface.php');

</script>

<h3>Pick the dog name and breed to change from the dropdown box, then click the button.<br>For new dog information select 'NEW'.</h3>

Select 'NEW' or Dog's Name/Breed <div id="AjaxReturnValue"></div>

<input type="button" name="selected" id="selected" value="Click to select" onclick="process_select()" /><br><br>

<div id="input_form">

<form method="post" action="e8dog_interface.php" onSubmit="return validate_input(this)">

<h3>Please note the required format of information.</h3>

<hr>