004.测验.情景之迷你用户验证

最新推荐文章于 2024-07-17 11:39:36 发布

iteye_363

最新推荐文章于 2024-07-17 11:39:36 发布

阅读量153

点赞数

分类专栏：攻城狮朋友圈文章标签：情景用户密码登陆验证

攻城狮朋友圈专栏收录该内容

23 篇文章

订阅专栏

本文介绍了一个迷你用户验证系统的实现方式，包括如何通过慢算法和加盐来提高密码安全性，以及如何设计合理的数据库表结构来避免常见的安全漏洞。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

[img]http://www.moilioncircle.com/images/post/actions/004/subject.jpg[/img]

[b]# 004.测验.情景之迷你用户验证[/b]

用户信息被拖库，是攻城狮的耻辱，也使整个行业蒙羞。
耻辱柱上，已经钉过了优快云，小米和某些票贩子网站。

@史荣久 / 2015-01-05 / CC-BY-SA-3.0

[b]## 任务说明[/b]

本次练习是一个迷你版的用户模块，目标是用户验证。

用户模块，最低级错误有：（1）被注入（2）存明文。
算法上，要用慢算法防强暴，要加盐防用户密码太傻。

通常的用户模块，是独立的三块，等价于以下三张表。
（1）信息表(USER_INFORMATION)，存用户信息。
（2）验证表(USER_AUTHENTICATION)，存验证信息。
（3）授权表(USER_AUTHORIZATION)，存权限信息。

题外话：在发达地区，泄露用户信息会被法律制裁。
我们正在发展的路上，所以安全意识一定要接轨。

[b]## 数据关系[/b]

[img]http://www.moilioncircle.com/images/post/actions/004/erd.png[/img]


CREATE TABLE IF NOT EXISTS `USER_INFORMATION` (
  `UID` INT(11) NOT NULL COMMENT '用户ID',
  `SURNAME` VARCHAR(50) NOT NULL COMMENT '姓',
  `GVNNAME` VARCHAR(50) NOT NULL COMMENT '名',
  `BIRTHDAY` DATE NOT NULL COMMENT '生日',
  PRIMARY KEY (`UID`))
ENGINE = InnoDB
DEFAULT CHARACTER SET = utf8
COLLATE = utf8_bin;

CREATE TABLE IF NOT EXISTS `USER_AUTHENTICATION` (
  `LOGINID` VARCHAR(100) NOT NULL COMMENT '登陆ID',
  `UID` INT NOT NULL COMMENT '用户ID（FK）',
  `PASSHASH` VARCHAR(200) NOT NULL COMMENT '密码散列',
  `PASSSALT` VARCHAR(100) NOT NULL COMMENT '密码加盐',
  `HASHTYPE` INT NOT NULL COMMENT '散列算法',
  PRIMARY KEY (`LOGINID`),
  CONSTRAINT `AUTHEN_UID`
    FOREIGN KEY (`UID`)
    REFERENCES `USER_INFORMATION` (`UID`)
    ON DELETE NO ACTION
    ON UPDATE NO ACTION)
ENGINE = InnoDB;

CREATE TABLE IF NOT EXISTS `USER_AUTHORIZATION` (
  `UID` INT NOT NULL COMMENT '用户ID（FK）',
  `ROLE` INT NOT NULL COMMENT '角色ID（FK）',
  PRIMARY KEY (`UID`, `ROLE`),
  CONSTRAINT `AUTHOR_UID`
    FOREIGN KEY (`UID`)
    REFERENCES `USER_INFORMATION` (`UID`)
    ON DELETE NO ACTION
    ON UPDATE NO ACTION)
ENGINE = InnoDB
DEFAULT CHARACTER SET = utf8
COLLATE = utf8_bin;

[b]## 基础问题[/b]

（1）上述表，一个用户，可以有多个LOGINID么？

（2）常用的密码算法有哪些？他们各有什么特点？

（3）文中的"慢算法"指什么？如何做到防爆的？

（4）文中的"加盐"指什么？什么样的密码"太傻"？

（5）简单的"注入"有哪些？怎么防止被注入？

[b]## 编码问题[/b]

（a）写一个计算密码强度的服务，1-100表示强度值。

（b）尽情发挥，写一个用户登陆服务（即通过验证）。

（c）尽情发挥，写一个用户注册服务。

提示：所谓服务，可以但不应该是简单的程序。

[b]## 参考资料[/b]

[加盐密码哈希：如何正确使用（中文）]([url]http://blog.jobbole.com/61872/[/url])
[加盐密码哈希：如何正确使用（英文）]([url]http://crackstation.net/hashing-security.htm[/url])

----
题图：2014年圣诞节，12306明文密码及用户信息泄露，随后，此案被迅速告破。
原文：[url]http://www.moilioncircle.com/actions/004.quiz.case-mini-authentication.html[/url]