网站登录注意事项

1、登录

    采用SSL保护传输数据,否则所有数据都可以被窃听。私密数据加盐哈希可以保护数据不暴露,但是阻断不了中间人、暴力、劫持。

2、采用cookie实现自动登录

    授权信息保存在服务器一侧,仅仅对用户cookie和服务器所保存的授权信息做一个映射,cookie应该被设置为httponly,并且cookie的传输采用https

    Cookie应该包含用户名和随机数,在数据库中保存随机数和用户名的对应关系,如果后台验证对应成功则授权登录,并将当前随机数丢弃,将新的随机数保存到cookie中

    当涉及到用户的私密信息需要重新输入密码

3、密码复杂度需要验证,而且在密码输错的情况下需要不断延长输入密码的时间,1-4次输错,不延迟,5+次输错15-30sec延迟

你可能感兴趣的:(登录)