8、保障Web应用安全：用户认证与会话管理全解析

保障Web应用安全：用户认证与会话管理全解析

1. 应对用户遗忘密码问题

人类并非计算机，会遗忘重要信息，如Web应用的登录凭证。因此，设置安全的密码恢复机制十分必要。

1.1 常见的密码恢复系统

现代Web应用最常用的恢复系统是基于电子邮件的方式。系统会向注册邮箱发送链接，提示用户将当前（已遗忘）的密码更改为新密码。不过，对于一些极其关键的应用，这种方式可能不够安全，需要更可靠的恢复流程。

1.2 增强恢复系统安全性的方法

• 添加恢复问题或二级密码 ：在恢复过程中，要求用户提供一组恢复问题的答案或二级密码。这样可以阻止那些获取了用户邮箱的攻击者，因为他们通常不知道这些问题的答案或二级密码。恢复问题的答案应视为密码，需进行哈希处理，并且应用程序应将恢复问题作为一个整体进行验证。例如，如果有三个问题，用户必须全部回答正确才能继续。若有一个回答错误，应显示错误信息，但不要指明哪个问题答错。
• 登录表单处理 ：处理登录表单时，不要明确指出是用户名还是密码错误，只需提示组合不正确。同时，要防止暴力破解恢复问题的答案，可限制尝试次数并设置延迟。
• 验证用户邮箱地址 ：使用基于电子邮件的恢复系统时，要始终验证用户的邮箱地址。在用户更改邮箱地址时，必须重新验证并使用额外的身份验证层。否则，攻击者可能会轻易更改邮箱地址，永久锁定合法用户。

1.3 添加额外的身份验证层

对于重要应用，除了用户名和密码，还应添加其他身份验证层，