Laravel：誰かがアプリの生成キーを知っている場合

Question

laravelプロジェクトのアプリケーションキーにアクセスできない場合はどうすればいいですか？

何ができますか？

Answer 1

基本的に、彼らはほとんどすべてを復号化して暗号化でき、あなたのアプリはそれを入力として受け入れます。

たとえば、アプリキーで誰かがパスワードを使用せずにアプリの任意のユーザーとしてログインするCookieを生成することができます。

誰かがそのキーを盗んだ場合は、できるだけ早く再生することをお勧めします。

しかし、アプリで暗号化されたものはすべて無効になります。だから私を覚えてトークン、クッキー、セッションが無効になると誰もが再びログインする必要があります。

また、アプリでEncrypterクラスを使用している場合は、以前に暗号化されたものを正常に復号化できないことを忘れないでください。そのため、古いキーを使用してデータを復号化してから、それを新しいもので再暗号化する。

また、最も厄介な点は、Hash：makeで作成されたすべてのパスワードが有効でなくなることです。しかし、攻撃者があなたのAPPキーへのアクセス権を持っていれば、彼はあなたのDB資格情報にもアクセスすることができます。したがって、あなたの完全なパスワードデータベースはもはや安全ではなく、ユーザーにすべてのパスワードを再生成させるべきです。