找回密码的功能设计_第1页
找回密码的功能设计_第2页
找回密码的功能设计_第3页
全文预览已结束

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

1、找回密码的功能设计所有需要登录的网站，都会提供找回密码的功能，防止用户忘记密码。正确设计这个功能，保证安全可靠，并不简单。下面就是安全专家TroyHunt给出的。、如何保存密码个网站要想保证密码安全，第一步就是以正确的方法保存密码。一般说来，密码有三种保存方式。明文保存明文保存就是用户的密码原文不动地写入数据库。这种方式最不安全，极易泄漏，应该严格禁用。加密保存加密保存就是使用密钥，将密码加密后，以密文保存进数据库。这种方式虽然有一定的安全性，但是终究还是可以用密钥还原密码。因此，还是存在泄漏的可能，也不推荐使用。哈希保存哈希保存就是对密码使用哈希算法，将哈希值保存进数据库。为了增加随机性，防

2、止彩虹表这一类的工具，计算哈希的时候，每个用户都有个不样的盐值(salt)，也会同时保存进数据库。哈希是单向运算，无法还原，所以即使哈希值泄漏，一般来说，也不会暴露用户的原始密码。第条规则：密码永远都要哈希保存。二、密码重置如果密码是哈希保存，用户一旦忘记密码，网站也无法知道原始密码是什么，只能让用户重置密码。第二条规则：找回密码就是让用户重置密码。重置密码又有两种做法。有的网站先自动改成一个随机密码，然后再让用户登录后自己改掉。这样做的风险在于，你必须把随机密码告知用户，通过邮件或短信，这个过程中就有可能泄漏。第三条规则：重置密码的时候，要给出一个链接，让用户到网页上自己修改密码。重置链接由

3、于是明文传播，而且直接修改密码，所以必须有失效时间。一般来说，可以设成10分钟失效。三、用户名还是邮件地址？重置密码之前，必须知道重置谁的密码。这时需要用户提供，注册时的邮件地址。第四条规则：重置密码之前，如果用户提供了错误的邮件地址，不要提示他。这是因为如果提示了，数据库不包含某个邮件地址，就可能像下图那样，泄露用户的隐私，被钓鱼者利用。文章虽然是我转载过来的，但是我特意把图片打码了，免得这篇文章被和谐A兽hitaItitpgmxQifiVLi1.!-liInPrrvatie守fiKOUrwuprnamtatVFDEQSPHOTOSCQMMJNlTfPREMEUfWRECOVERYOURPA

4、SSWORDThereisrau&eriEteredwoaddress!：?Email:正确的做法是，不管用户输入什么邮箱，都向该邮箱发邮件。在邮件里说明，有人尝试重置密码，但是他输入的邮箱不在数据库里面。如果不是采用邮件地址，而是根据用户名识别用户，就没有办法不提示，某个用户名是否存在。某些人的用户名非常特殊，一旦知道该用户名存在，就几乎可以肯定是该人注册的。第五条规则：重置密码的时候，识别用户最好依靠邮件地址，而不是用户名。四、过滤用户为了防止机器人攻击，进入重置密码之前，最好加上CAPTCHA识别。此外，还要防止一种情况：张三知道李四的邮箱，然后使用找回密码功能，让系统给李四发出重置密码的邮件。第六条规则：如果条件允许，重置密码之前，最好请

人人文库> 全部分类> 行业资料 > 信息产业

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论