一个安全的 Web 用户登录系统应该怎样设计与实现？

[RTNelo]

[giuem]

不知道楼主对于安全的定义是什么。我认为，登录页面使用 https ，不明文传输密码差不多就可以了

[vibrance]

https 加专线加自制加密算法

[Ouyangan]

http://coolshell.cn/articles/5353.html

[MeirLin]

@giuem
@vibrance 然后就会出现撞库攻击。

[abelyao]

微信扫二维码登录

[cloverstd]

两步验证

[loading]

防爆破，我的就没实现这个…准备加。

[MeirLin]

@loading 验证码+表单不可重复提交（类似 Token ）即可

[lingo233]

千万别自制加密算法

[virusdefender]

网页写入一段乱七八糟的 js ，提交的时候带上这个 js 的运行结果，然后与 session 中比较，可以防住不少低级的机器人。

https://virusdefender.net/index.php/archives/438/

[tinyproxy]

oauth ，两步验证，客户端证书

[bdbai]

@virusdefender 对于登录系统，万能机器人应该不多吧？
WordPress 博客也经常有机器人评论，随便搞点 trick 就行了。

[Ryans]

- https
- 如果 http ，请将用户名密码加密后传输，避免网络嗅探
- 多次输入密码错误出现验证码逻辑
- 账号 密码 的后台处理注意避免 SQL 注入漏洞使得万能密码可以绕过
- 找回密码逻辑

[jugelizi]

验证码 多次错误输入要有
密码要 JS 非对称加密服务器解密
不上 https 谈安全都是耍流氓

[tuoxie007]

最偷懒的做法，用第三方 oauth 登录，自己网站每次给分配一个 token ，定时过期。

[ljdawn]

两次 hash 先搞起来。

[MeirLin]

@ljdawn 哪个位置做 hash 呢？

[ljdawn]

@MeirLin js 来一发。 服务器短再来一发。。

[MeirLin]

@ljdawn 这样其实也无济于事， 攻击者可以在用户输入这一步进行诸如撞库类的攻击 自动写到表单进行 fuzz 提交就好 .. 所以要防御还需是多面的，目前看来正确使用验证码就可以防御，再加上表单提交的 token 基本不用担心撞库了。当然再加上服务器风控能做到发现大量发包提交就封 ip 也是有效的 但是 ip 的获取不能用 XFF ，不然一样可以伪造来绕过，其实撞库就是识别机器行为的博弈，只要机器无法做到就是防御了　当然最重要的是把所有登陆接口都做到防御 ..　挖过阿里撞库的经验

[ljdawn]

@MeirLin 一般网站的的登录都不会做到那么安全吧？ 正确使用验证码？ 如果验证码难度大，也增加了用户的登录难度阿。