php sicherer Login

[andaris]

Hallo!

Fürs Hashen von Passwörtern ist SHA1 nicht gut geeignet da es zu schnell berechenbar und somit anfällig für Brute-Force ist. Verwende am besten die PHP 5.5+ Password Hash API: http://de.php.net/password_hash bzw http://de2.php.net/manual/de/function.password-verify.php.

Passworthashes sollten nur auf dem Server liegen und nicht über Cookies oder anderweitig durch die Gegend geschickt werden - verwende lieber das reguläre Session-System von PHP (http://de2.php.net/manual/en/book.session.php). Damit wird nach erfolgreichem Login auf dem Client ein Cookie mit einem zufälligen Sessiontoken abgelegt, dieses dient anschließend zur Authentifizierung.