如何管理用户名/密码会话信息?

这实际上是一个非常复杂的问题。举个例子,您遇到了帐户锁定的问题:如果您基于失败的尝试进行锁定,那么攻击者处理您的网站有多容易?

我将列出一些让您开始的最佳实践:

1. 存储密码 加盐和土豆泥 以及用户名和用户名。(您还应该将盐存储在哈希旁边。)

2. 不允许的 频繁的错误密码尝试。(每几秒钟一次以上)。

3. 如果任何给定用户或任何给定IP地址的尝试失败(一分钟超过3次) 需要某种形式的人类验证 就像一个验证码。这样可以防止DoS攻击。

4. 如果实现自动登录系统, 使用令牌身份验证 系统。

5. 对于令牌认证系统,使用安全的随机数生成器,将普通令牌发送给用户,但是 盐和土豆泥 在数据库中。

6. 如果可能,请使用TLS/SSL 但一旦数据脱离网络,就不要依赖于它们的安全性。

如果您的网站是用ASP.NET构建的,那么您可以使用DOT NET证券。这真的很好。您还可以在其中使用Principle类来提高安全性。