我应该如何为CodeIgniter选择身份验证库？

Question

我应该如何为CodeIgniter选择身份验证库？

Gav*_*inR 392 php authentication codeigniter

我看到有几个.哪些是维护和易于使用？它们的优缺点是什么？

Answer 1

Jen*_*and 465

更新(2010年5月14日):

事实证明,俄罗斯开发人员Ilya Konyukhov在阅读完这篇文章后拿起了这个手套,并根据下面的建议和要求为DX Auth创建了一个新的auth库.

由此产生的Tank Auth看起来像是OP问题的答案.我将在这里出去,并将Tank Auth称为CodeIgniter的最佳身份验证库.它是一个坚如磐石的图书馆,拥有你需要的所有功能,没有你没有的膨胀:

Tank Auth

优点

功能齐全

考虑功能集的精益足迹(20个文件)

非常好的文档

简单而优雅的数据库设计(仅4个DB表)

大多数功能都是可选的,易于配置

语言文件支持

reCAPTCHA支持

陷入CI的验证系统

激活电子邮件

使用电子邮件,用户名或两者登录(可配置)

未激活的帐户会自动过期

简单而有效的错误处理

使用phpass进行散列(以及在数据库中散列自动登录代码)

不使用安全问题

用户和配置文件数据的分离非常好

围绕失败登录尝试的非常合理的安全模型(对机器人和DoS攻击的良好保护)

(次要)缺点

丢失的密码代码不会在DB中进行哈希处理

包括一个原生(差)CAPTCHA,这对那些不想依赖(谷歌拥有的)reCAPTCHA服务的人来说很不错,但它确实不够安全

非常稀疏的在线文档(这里的小问题,因为代码很好地记录和直观)

在这里下载Tank Auth

原始答案:

我也实现了自己的(目前大约80%在完成几周后完成).我先尝试了所有其他人; FreakAuth Light,DX Auth,Redux,SimpleLogin,SimpleLoginSecure,pc_user,Fresh Powered等等.他们都没有达到标准,IMO,要么他们缺乏基本功能,本身就是不安全,或者根据我的口味过于臃肿.

实际上,当我测试它们时(在新年之后),我对CodeIgniter的所有认证库进行了详细的综述.FWIW,我会和你分享:

DX Auth

优点

非常全功能

中等尺寸(25个以上的文件),但设法感觉非常苗条

优秀的文档,虽然有些文档略显破碎

语言文件支持

reCAPTCHA支持

陷入CI的验证系统

激活电子邮件

未激活的帐户会自动过期

建议grc.com使用盐(对于PRNG来说不错)

禁止使用存储的"原因"字符串

简单而有效的错误处理

缺点

只允许用户"重置"丢失的密码(而不是让他们在重新激活时选择一个新密码)

Homebrew伪事件模型 - 善意,但错过了标记

用户表中的两个密码字段,样式不好

使用两个单独的用户表(一个用于'临时'用户 - 模糊和冗余)

使用可能不安全的md5散列

登录尝试失败仅由IP存储,而不是由用户名存储 - 不安全!

自动登录密钥没有在数据库中进行散列 - 实际上与以明文形式存储密码一样不安全!

角色系统是一个完整的混乱:is_admin函数与硬编码的角色名称,is_role完全混乱,check_uri_permissions是一个烂摊子,整个权限表是一个坏主意(URI可以更改和呈现页面不受保护;权限应始终准确存储敏感逻辑在哪里).因素在于!

包括本地(差)CAPTCHA

reCAPTCHA功能界面很乱

FreakAuth Light

优点

非常全功能

大多数文档都很好

分离用户和配置文件数据是一个不错的选择

陷入CI的验证系统

激活电子邮件

语言文件支持

积极发展

缺点

感觉有点臃肿(50多个文件)

然而它缺乏自动cookie登录(!)

不支持使用用户名和电子邮件登录

似乎有UTF-8字符的问题

需要大量自动加载(阻碍性能)

糟糕的微管理配置文件

可怕的视图 - 控制器分离,视图中有大量程序逻辑,输出硬编码到控制器中.因素在于!

包含的视图中的HTML代码不佳

包括不合标准的CAPTCHA

调试回调无处不在

强制特定的文件夹结构

强制一个特定的Ajax库(可以切换,但不应该在那里首先)

登录尝试没有最大限制 - 非常不安全!因素在于!

劫持形式验证

使用可能不安全的md5散列

pc_user

优点

其小巧的外形设置良好的功能

轻量级,无膨胀(3档)

优雅的自动cookie登录

附带可选的测试实现(很好的触摸)

缺点

使用旧的CI数据库语法(不太安全)

不会挂钩CI的验证系统

有点不直观的状态(角色)系统(索引颠倒 - 不切实际)

使用可能不安全的sha1散列

新鲜动力

优点

占地面积小(6档)

缺点

缺乏很多基本功能.因素在于!

一切都是硬编码的.因素在于!

Redux/Ion Auth

根据CodeIgniter维基,Redux已经停产,但Ion Auth前叉非常强大:https://github.com/benedmunds/CodeIgniter-Ion-Auth

Ion Auth是一个功能齐全的图书馆,没有过重或过于先进.在大多数情况下,其功能集将满足项目的要求.

优点

轻巧,易于与CodeIgniter集成

支持直接从库中发送电子邮件

良好的在线记录和良好的活跃开发/用户社区

很容易实现到项目中

缺点

比其他一些更复杂的DB模式

文档在某些方面缺乏细节

SimpleLoginSecure

优点

占地面积小(4档)

简约,绝对没有膨胀

使用phpass进行散列(优秀)

缺点

只有登录,注销,创建和删除

缺乏很多基本功能.因素在于!

更多的起点而不是图书馆

不要误会我的意思:我不是故意不尊重上述任何一个图书馆; 我对他们的开发人员所取得的成就以及他们每个人已经走了多远都印象深刻,而且我不会重复使用他们的一些代码来构建我自己的代码.我所说的是,有时候在这些项目中,焦点从基本的"需要到有"(例如硬安全实践)转移到更柔软的"好有可能",这就是我希望补救的.

因此:回归基础.

CodeIgniter的身份验证正确完成

这是我的MINIMAL必需的身份验证库功能列表.它也恰好是我自己的库的功能列表的一个子集;)

可选的测试实施,占地面积小

完整文档

无需自动加载.及时加载库以提高性能

语言文件支持; 没有硬编码的字符串

支持reCAPTCHA但可选

推荐的TRUE随机盐生成(例如使用random.org或random.irb.hr)

支持第三方登录的可选附件(OpenID,Facebook Connect,Google帐户等)

使用用户名或电子邮件登录

分离用户和配置文件数据

用于激活和丢失密码的电子邮件

自动cookie登录功能

用于散列的可配置phpass(当然适当加盐!)

哈希密码

哈希自动登录代码

哈希密码丢失

陷入CI的验证系统

没有安全问题!

强制密码策略服务器端,带有可选的客户端(Javascript)验证器

使用针对字典和DoS攻击的BEST PRACTICES对策强制执行最大失败登录尝试次数!

通过准备(绑定)语句完成所有数据库访问!

注意:最后几点不是您的Web应用程序不需要的超高安全性过度杀伤.如果身份验证库100%不符合这些安全标准,请勿使用它!

最近高调的不负责任的编码员将他们从软件中删除的例子:#17是莎拉佩林的AOL电子邮件在总统竞选期间被黑客入侵的原因; 最近,当布兰妮斯皮尔斯,巴拉克奥巴马,福克斯新闻和其他人的推特账号遭到黑客攻击时,#18和#19的讨厌组合成了罪魁祸首; 仅20年就是中国黑客在2008年的一次自动黑客攻击中,从70,000多个韩国网站中窃取了900万条个人信息.

这些攻击不是脑部手术.如果你将后门敞开,你不应该通过用螺栓固定前部来欺骗自己.此外,如果您对编码选择像CodeIgniter这样的最佳实践框架非常认真,那么您应该至少自己完成最基本的安全措施.

<咆哮>

基本上,它是这样的:我不关心 auth库是否提供了许多功能,高级角色管理,PHP4兼容性,漂亮的CAPTCHA字体,国家表,完整的管理面板,铃声和口哨 - 如果库真的使不遵循最佳做法,我的网站不太安全.这是一个身份验证包; 它需要做一件事:认证.如果它没有做到这一点,它实际上弊大于利.

</咆哮>

/ Jens Roland

你能否更新这篇文章并与[Ion-Auth](http://github.com/benedmunds/CodeIgniter-Ion-Auth)(源自dx-auth)进行比较？在这个时间点看来,ion-auth似乎更新,并且活动然后是tank-auth.我想从安全角度知道它是否与Tank-auth一样好,因为它有一些可能有用的附加功能. (8认同)
Jens,你可能想看看Tank Auth,它似乎是为了回应你的(优秀)帖子而创建的:http://codeigniter.com/forums/viewthread/110993/ (2认同)
@Lykos:当然 - 用户数据将是特定于身份验证的数据,例如UserID,UserName,Email,PasswordHash,LastLoginTime等.配置文件数据应存储在单独的数据库表中,可以是任何内容,具体取决于具体的应用程序.这可能包括生日,性别,家乡,声誉评分等.这样,应用程序开发人员可以以他们喜欢的任何方式修改ProfileData表,而不必担心auth系统突然崩溃. (2认同)