一種低成本的找回密碼token驗(yàn)證方案

lakeside 發(fā)布于2019-06-27 14:05 / 1919人閱讀

摘要：的特點(diǎn)主要有如下幾個(gè)唯一性時(shí)效性不可預(yù)測(cè)很多大型業(yè)務(wù)中，比如說(shuō)的找回密碼流程中，對(duì)于發(fā)給用戶的找回密碼鏈接郵件需要同時(shí)提交用戶輸入的驗(yàn)證碼和也就是該校驗(yàn)碼對(duì)應(yīng)的。

隨著互聯(lián)網(wǎng)的高速發(fā)展，WEB2.0網(wǎng)站的業(yè)務(wù)越來(lái)越龐大，一些token驗(yàn)證在許多場(chǎng)景下都必不可少，比如說(shuō)交易訂單的防止多次提交，重要的敏感操作防止CSRF（跨站請(qǐng)求偽造）攻擊，以及短信驗(yàn)證碼，找回密碼驗(yàn)證碼，注冊(cè)登錄圖形的生成和驗(yàn)證。
token的特點(diǎn)主要有如下幾個(gè)：

唯一性

時(shí)效性

不可預(yù)測(cè)

很多大型業(yè)務(wù)中，比如說(shuō)BAT的找回密碼流程中，對(duì)于發(fā)給用戶的找回密碼鏈接郵件需要同時(shí)提交用戶輸入的vcode驗(yàn)證碼和vcode_md5也就是該校驗(yàn)碼對(duì)應(yīng)的token。很多人認(rèn)為這時(shí)需要一個(gè)緩存中間件比如說(shuō)Redis或者M(jìn)emcache來(lái)存儲(chǔ)校驗(yàn)碼對(duì)應(yīng)的需要重置密碼的用戶Uid。其實(shí)大可不必如此。

我們可以在服務(wù)器端使用rand()生成隨機(jī)數(shù)，然后將生成的隨機(jī)數(shù)加上指定的salt做md5處理，比如說(shuō)

function vcode($uid) {
    $output["vcode_timestamp"] = time();
    $output["vcode"] = $uid;
    $output["vcode_md5"] = md5("changwei"+vcode_timestamp+$uid);
    return $output;
}

生成的時(shí)候?qū)code和vcode_md5一起通過(guò)郵件發(fā)回給客戶。

那么驗(yàn)證的時(shí)候該怎么驗(yàn)證呢？很好辦，把指定的鹽值加上校驗(yàn)碼以及其他附帶信息（比如說(shuō)用戶UID）進(jìn)行md5運(yùn)算，和客戶端提交的那個(gè)事先發(fā)給客戶端的vcode_md5進(jìn)行比較，如果一致那么就通過(guò)。

那么我們來(lái)看看這是否具有token的幾個(gè)特點(diǎn)呢？首先，唯一性，可以通過(guò)uid（這個(gè)一般是用戶表的遞增主鍵，不會(huì)重復(fù)），并且將當(dāng)前時(shí)間戳作為隨機(jī)數(shù)種子，基本上可以認(rèn)為是高度隨機(jī)的數(shù)字了，加上md5加鹽運(yùn)算之后客戶有視為高度近似的唯一性了。不可預(yù)測(cè)性呢？由于指定的salt是存儲(chǔ)在服務(wù)端，只要這個(gè)salt足夠復(fù)雜而且沒(méi)有被泄漏，那么這個(gè)vcode_md5肯定是無(wú)法被客戶端預(yù)測(cè)的，也保證了這個(gè)方案的安全性。

最后就是時(shí)效性了，很多人總在糾結(jié)，如果沒(méi)有Redis或Memcache，那么如何去存儲(chǔ)他的時(shí)效性呢？通過(guò)cookie嗎？不行，cookie是在客戶端的，那么意味著是用戶可控的，不安全。用session呢？標(biāo)題寫了是低成本解決方案，session存儲(chǔ)在服務(wù)端，在高并發(fā)請(qǐng)求數(shù)量龐大的大型網(wǎng)站中，每時(shí)每刻都有成千上萬(wàn)的校驗(yàn)碼生成，如果都存在session對(duì)于服務(wù)器壓力（尤其是IO）是十分大的。那么還有什么辦法呢？我們想想，既然md5是消息摘要算法，那么他就可以用來(lái)驗(yàn)證數(shù)據(jù)在傳輸中途是否經(jīng)過(guò)了篡改，那么思路就來(lái)了，我們?cè)诎l(fā)回給用戶的表單中再加一個(gè)隱藏域，名字為vcode_timestamp，后端算法再改一改，這次提供完整的驗(yàn)證算法源代碼。

function vcode($uid) {
    $output["vcode_timestamp"] = time();
    $output["vcode"] = $uid;
    $output["vcode_md5"] = md5("changwei"+vcode_timestamp+$uid);
    return $output;
}
function verify() {
    if(md5("changwei"+$_POST["vcode_timestamp"]+$_POST["uid"])===$_POST["vcode_md5"]) {
        if(time()
這樣一來(lái)時(shí)效性也可以驗(yàn)證了，全過(guò)程沒(méi)有涉及到任何服務(wù)器端的存儲(chǔ)引擎，可以說(shuō)是把成本降到了最低。而且md5本身也是目前效率非常高的hash算法，對(duì)于cpu的消耗也不是很大。
目前我的網(wǎng)站lol.changwei.me
中取消監(jiān)控鏈接便用的是該方案，經(jīng)過(guò)上線一個(gè)月的測(cè)試，基本上沒(méi)有出現(xiàn)什么BUG。

云服務(wù)器 GPU云服務(wù)器阿里云服務(wù)器的桌面密碼怎么找回 token驗(yàn)證 Token驗(yàn)證失敗密碼找回

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/21792.html

發(fā)表評(píng)論

登陸后可評(píng)論

0條評(píng)論

lakeside

男|高級(jí)講師

我要關(guān)注我要私信

TA的文章

GifCam – 一款綠色無(wú)需安裝Gif桌面錄屏動(dòng)畫工具亦可轉(zhuǎn).AVI格式

閱讀 2996·2021-10-12 10:17
hostarmada：管理型云服務(wù)器/vps，可選新加坡/美國(guó)等9機(jī)房，自帶cpanel授權(quán)，超大帶

閱讀 1599·2021-09-01 11:38
足球數(shù)據(jù)API接口 - 【球員列表資料】API調(diào)用示例代碼

閱讀 1093·2019-08-30 15:44
基于js的APP多語(yǔ)言處理

閱讀 3490·2019-08-26 18:36
Fetch()

閱讀 520·2019-08-26 13:25
前端面試每日3+1——第107天

閱讀 1891·2019-08-26 10:29
每日 30 秒 ? 終極等于

閱讀 2845·2019-08-23 15:58
【每日一包0001】is-sorted

閱讀 768·2019-08-23 12:59

成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

上云采購(gòu)季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺(tái)、長(zhǎng)期優(yōu)惠，快來(lái)選購(gòu)！

一種低成本的找回密碼token驗(yàn)證方案

相關(guān)文章