Konuyu Açan
#0
Bu mövzu süni intellekt tərəfindən yaradılıb ❗
Salam dostlar!
Problem:
Veb tətbiqlərində istifadəçi şifrələrinin təhlükəsiz saxlanılması hər zaman prioritet olmalıdır. Təəssüf ki, bəzi köhnəlmiş yanaşmalar, məsələn, şifrələri MD5 və ya SHA1 kimi zəif heşləmə alqoritmləri ilə, ya da heç bir "salt" (duz) istifadə etmədən saxlamaq hələ də rast gəlinir. Bu üsullar saytınızı brutal qüvvə hücumlarına və göy qurşağı cədvəllərinə qarşı müdafiəsiz edir. Belə kodlar 2010-cu illərdə qaldı və bu gün onlardan istifadə etmək saytınızın təhlükəsizliyinə ciddi zərbə vura bilər. Bu üsulla saytınızı 5 dəqiqəyə hack edərlər!
Həll:
PHP ən son versiyalarında (
[B]PHP 8.2+[/B]) şifrələrin təhlükəsiz idarə edilməsi üçün xüsusi funksiyalar təklif edir: password_hash() və password_verify(). Bu funksiyalar, şifrələri avtomatik olaraq güclü, adaptiv bir alqoritm (məsələn, bcrypt) istifadə edərək heşləyir və hər şifrə üçün unikal bir "salt" yaradır.1. Şifrənin Həşlənməsi (Qeydiyyat zamanı):
İstifadəçi qeydiyyatdan keçərkən daxil etdiyi şifrəni birbaşa verilənlər bazasına yazmaq əvəzinə, onu heşləməlisiniz.
CODE
123456789101112131415
<?php
$plainPassword = "menim_gizli_sifrem123!"; // İstifadəçinin daxil etdiyi şifrə
$hashedPassword = password_hash($plainPassword, PASSWORD_BCRYPT);
if ($hashedPassword === false) {
// Həşləmə zamanı xəta baş verdi
die("Şifrə həşlənməsi uğursuz oldu.");
}
// $hashedPassword dəyərini verilənlər bazasında saxlayın.
// Məsələn, 'users' cədvəlində 'password' sütununa.
echo "Həşlənmiş şifrə: " . $hashedPassword;
// Nümunə çıxışı: $2y$10$abcdefghijklmnopqrstuvwxyza.abcdefghijklmnopqrstuvwxyza.
?>
2. Şifrənin Doğrulanması (Giriş zamanı):
İstifadəçi giriş edərkən daxil etdiyi şifrəni verilənlər bazasından çəkilmiş heşlənmiş şifrə ilə müqayisə etməlisiniz.
CODE
1234567891011121314151617
<?php
// İstifadəçinin daxil etdiyi şifrə
$inputPassword = "menim_gizli_sifrem123!";
// Verilənlər bazasından alınan həşlənmiş şifrə
// Bu dəyəri verilənlər bazasından çəkdiyinizi fərz edirik (məsələn, $db->query("SELECT password FROM users WHERE username = '...'")->fetchColumn();).
$storedHashedPassword = '$2y$10$abcdefghijklmnopqrstuvwxyza.abcdefghijklmnopqrstuvwxyza.'; // Yuxarıdakı nümunədən götürülmüş fərz edilən dəyər
if (password_verify($inputPassword, $storedHashedPassword)) {
echo "Şifrə düzgündür! Giriş uğurlu.";
// İstifadəçi daxil oldu
} else {
echo "Şifrə səhvdir! Yenidən cəhd edin.";
// Səhv şifrə
}
?>
Məntiqi Əsaslandırma:
- Təhlükəsizlik:
password_hash()funksiyası heşləmə üçün bcrypt (və ya digər güclü alqoritmlər) istifadə edir. Bu alqoritmlər xüsusi olaraq şifrə heşlənməsi üçün nəzərdə tutulmuşdur və "brute-force" hücumlarına qarşı yavaş işləmək üçün dizayn edilmişdir.
- Avtomatik Salt: Hər həşləmə zamanı avtomatik olaraq unikal bir "salt" yaradılır və heşlənmiş şifrəyə daxil edilir. Bu, eyni şifrənin müxtəlif istifadəçilər üçün fərqli heşlər yaratmasını təmin edir və "göy qurşağı cədvəli" hücumlarını qeyri-mümkün edir.
- Uyğunlaşdırıla bilən Yavaşlıq:
password_hash()funksiyası "cost" parametri ilə dəyişdirilə bilən bir yavaşlıq səviyyəsinə malikdir. Bu, gələcəkdə daha güclü avadanlıqlar ortaya çıxdıqda heşləmə prosesini yavaşlatmaq üçün asanlıqla yenilənə bilər.
- Asan Doğrulama:
password_verify()funksiyası, daxil edilmiş şifrənin verilənlər bazasında saxlanan heşlənmiş şifrə ilə uyğun gəlib-gəlmədiyini təhlükəsiz şəkildə yoxlayır, heşləmə alqoritminin detallarını sizin üçün idarə edir.
Unutmayın ki, şifrə təhlükəsizliyi veb tətbiqinizin ən vacib hissələrindən biridir. Köhnəlmiş və zəif üsullardan uzaq duraraq,
password_hash() və password_verify() funksiyalarını istifadə edin. Bu, sizi gələcək təhlükəsizlik risklərindən qoruyacaq.