PHP：特殊文字を含むパスワード

PHPでパスワードを操作する正しい方法を考え出すことができないようです。私はハッシングと使用して塩を、それは保存に来るとき、私は私はいくつかのユーザーが^！@＃$％」とパスワードを使用すると仮定しているダウンPHP：特殊文字を含むパスワード

stripslashes(mysql_real_escape_string($_POST["password"]));

基本的なパスワードを取得しようとしていますよ。 .. "など私は<b>lulz</b>"u'mad?のようなパスワードを使用しているユーザーを想像することができます。

これらの特殊文字をパスワード変数に含めるにはどうすればよいですか？

出典

2011-12-28 Aaron

HTMLとして再出力されないデータには、ストライプスラッシュを使用しません。 –

あなたはそれに心配するべきではありません。元の値を塩でハッシュしてください。 –

ハッシュする前に* anything *を入力する必要はありません。 –

ここでエスケープやストリッピングを行う必要はありません。 ^*$hashed = my_favourite_hash($_POST["password"] . $salt)のようなものは問題ありません。 ^†任意の正常ハッシュ関数は、エスケープする必要のない英数字の文字列を返す必要があります。とにかく

、あなたのSQLクエリのために準備されたステートメントを使用しなければならないので、SQLインジェクションの見込みなどはありません

_{*「あなたはmagic quotesが有効になっていない（そしてあなたが本当にshouldnと仮定すると、 t！）。
†my_favourite_hashの優先ハッシュ関数をここに置き換えてください。}

出典

2011-12-28 19:31:42

私はサブテキストが「{hash_algo}は安全ではありません!!」と警告していました。コメントを入力します。良いコール:) –

stripslashes（）とmysql_real_escape_string（）のポイントは、データ以外のものと間違える可能性のある何かをクエリに渡さないようにすることです。ハッシングは、それを厳密に文字列データに変換するものでなければなりません。 – Chris

@Madmartigan：はい、私はこの答えを将来的に証明しています... –

パスワードをプレーンテキスト形式で保存すると、非常に危険です。代わりに、そのパスワードのハッシュをデータベースに保存する必要があります。パスワードがハッシュされている場合、その文字には制限がありません。

上記のハッシュを作成するには、crypt()機能を使用することをお勧めします。好ましくは、SHA512またはBLOWFISHアルゴリズムを使用する。

また、私は（非推奨されているプロセスである）古代mysql_*機能の使用を停止し、準備された文でPDOまたはMySQLiを活用する方法を学ぶためにあなたのためをお勧めします。

出典

2011-12-28 20:02:27

PHP：特殊文字を含むパスワード

答えて

関連する問題