防止密码泄露需从输入、传输、存储多环节防护。使用stty -echo隐藏输入，通过password_hash()哈希加盐存储，禁用日志记录，传输时启用HTTPS，重置密码采用一次性过期token机制。
PHP脚本接收用户输入的密码，核心在于安全性。直接读取用户输入是不安全的，应该避免明文存储密码。
利用
readline
函数结合
shell
命令，可以安全地接收用户输入的密码。
PHP脚本接收用户输入的密码，并进行安全处理，可以考虑以下步骤：
<?php // 禁用命令行的历史记录，防止密码泄露 readline_completion_function(''); // 使用stty命令禁用回显 shell_exec('stty -echo'); // 提示用户输入密码 $password = readline("请输入密码："); // 恢复回显 shell_exec('stty echo'); // 输出一个换行符，防止密码和后续输出在同一行 echo "n"; // 对密码进行哈希处理（例如使用password_hash） $hashedPassword = password_hash($password, PASSWORD_DEFAULT); // 现在$hashedPassword包含了安全的哈希密码，可以存储到数据库中 // 注意：永远不要直接存储原始密码！ // 示例：验证密码 $userInput = readline("请再次输入密码进行验证："); shell_exec('stty -echo'); echo "n"; if (password_verify($userInput, $hashedPassword)) { echo "密码验证成功！n"; } else { echo "密码验证失败！n"; } shell_exec('stty echo'); echo "n"; // 清除密码变量，防止在内存中残留 unset($password); unset($userInput); ?>
如何防止密码泄露？
立即学习“PHP免费学习笔记（深入）”；
密码泄露的途径很多，从用户输入到存储，每个环节都要注意。使用HTTPS传输数据，数据库加密存储，定期更换密钥，都是有效的手段。再比如，避免在日志中记录密码，即使是哈希后的密码。一个简单的
error_reporting(0)
可以避免很多不必要的日志输出。
如何安全地存储用户密码？
存储密码的黄金标准是哈希加盐。
password_hash()
函数默认使用bcrypt算法，可以自动加盐，并且会随着PHP版本的更新而使用更安全的算法。永远不要使用MD5或SHA1这样的过时哈希算法，它们已经很容易被破解。如果需要兼容旧系统，可以考虑双重哈希，即先用旧算法哈希，再用新算法哈希。
用户忘记密码怎么办？
忘记密码是常见问题。提供“忘记密码”功能，允许用户通过邮箱或手机号重置密码。重置链接应该有过期时间，并且只能使用一次。发送重置链接时，不要在链接中包含用户的任何敏感信息，比如用户名或邮箱地址。使用UUID生成唯一的token，并存储在数据库中，关联到用户ID。
评论（已关闭）
评论已关闭