PHP实现登陆注册是需要注意哪些安全问题？

[yuyang038]

小弟的一个作业是要用php实现注册登陆，管理用户这些简单的功能，虽然一句PHP都没学过，但知道这些功能并不难实现。
我的这门课是安全编程，老师会对我们的作业进行各种攻击，所以我来请教一下大神们有哪些地方需要注意的。
我先列举一下我知道：
第一，密码管理：密码要加密，原来PHP多用MD5，现在貌似官方推荐用什么Password Hashing API。用户的密码和管理员的密码都加密。
第二，是对用户输入的用户名以及密码要规范，以防SQL注入攻击。
第三是session管理，但是对于这个session,我不是很理解，以前很少设计这方面。
我知道的就这么多了，欢迎大家补充以及指导，小弟在此先谢过各位

[一路奔向BAT]

https协议，保护用户得隐私安全

[yuyang038]

引用 1 楼 xiaochao199404 的回复:

https协议，保护用户得隐私安全

是也要加密么？

[青鬆下的坚躯]

验证码验证、限制登陆/注册次数

[喜爱cpp]

1，密码在提交后，程序先进行md5加密，然后生成一个随机数，再与该随机数再一次进行md5加密，将md5值与随机数值一同保存数据表中 2，验证码机制 3，登录失败次数控制 4，注册时，时间间隔机制，例如10分钟内只允许注册一次 5，注册时，ip地址控制机制，每一个ip只允许注册多少次

[justS0]

引用 2 楼 yuyang038 的回复:

[quote=引用 1 楼 xiaochao199404 的回复:] https协议，保护用户得隐私安全

是也要加密么？[/quote] 用户提交的数据，防止被别人抓到数据包

[yuyang038]

引用 3 楼 justS0 的回复:

[quote=引用 2 楼 yuyang038 的回复:] [quote=引用 1 楼 xiaochao199404 的回复:] https协议，保护用户得隐私安全

是也要加密么？[/quote] 用户提交的数据，防止被别人抓到数据包[/quote] 对对对，听别人说起过这个抓包的事情。确实需要注意

[yuyang038]

引用 5 楼 enjoycpp 的回复:

1，密码在提交后，程序先进行md5加密，然后生成一个随机数，再与该随机数再一次进行md5加密，将md5值与随机数值一同保存数据表中 2，验证码机制 3，登录失败次数控制 4，注册时，时间间隔机制，例如10分钟内只允许注册一次 5，注册时，ip地址控制机制，每一个ip只允许注册多少次

3，4，5是我没想到的，哈哈。第一个密码的建议看起来也很好，两次加密看起来挺安全

[yuyang038]

有没有讲一下session是干吗呢，这个我真是不太理解

[傲雪星枫]

1.sql注入，这个可以使用pdo prepare来避免 参考：http://blog.csdn.net/fdipzone/article/details/22330345 2.加入验证码，参考：http://blog.csdn.net/fdipzone/article/details/7295496

[二尸兄]

加密有很多常用的 md5 sha1 就ok了 安全 就多了 比如加个验证码 随机字段 csrf sql语句拼接注意类型转译 。。。。

[wodebaobei12611]

session多用来记录用户登录状态

[BaiduPHP]

1，前段简单验证，2，PHP端验证，注意sql，密码加密，结合下正则表达式

[fengyefengxiang]

在注册的时候要过滤特殊字符防止XSS攻击 因为HTTP是无状态协议，因而用到了session session是全局变量登录成功后，把用户信息放到session中，在别的页面中就可以获取用户信息了。 cookie 也能实现这个功能

[yuyang038]

引用 11 楼 u011516112 的回复:

session多用来记录用户登录状态

貌似session弄不好容易被劫持啊

[yuyang038]

引用 9 楼 fdipzone 的回复:

1.sql注入，这个可以使用pdo prepare来避免 参考：http://blog.csdn.net/fdipzone/article/details/22330345 2.加入验证码，参考：http://blog.csdn.net/fdipzone/article/details/7295496

版主都来了，这我可得去看看咯