1. 登陸腳本
2. 受保護的網(wǎng)頁示例
3. 注銷腳本
4. 注意事項
5. Hash函數(shù)字符串轉(zhuǎn)換
6. php登陸腳本（哈希值驗證）
可以使用 PHP 創(chuàng)建登錄腳本。PHP 提供了用于處理用戶身份驗證和會話的內(nèi)置函數(shù)和功能，這是登錄系統(tǒng)的基本組件。這些功能允許您安全地存儲和驗證用戶憑據(jù)，并在用戶與您的網(wǎng)站或應(yīng)用程序的交互過程中維護用戶會話。還有許多 PHP 框架和庫可用，提供預(yù)構(gòu)建的登錄系統(tǒng)功能，使您更容易在項目中實現(xiàn)登錄功能。
問:如何使用php限制未注冊的人訪問存儲在云服務(wù)器中的html ?
為了限制只有注冊用戶才能訪問存儲在云服務(wù)器上的HTML文件，可以使用PHP創(chuàng)建一個登錄系統(tǒng)來限制對這些文件的訪問。以下是所涉及步驟的總體概述:
1.創(chuàng)建一個允許用戶輸入用戶名和密碼的登錄表單。
2.使用PHP處理登錄表單，并根據(jù)數(shù)據(jù)庫或其他存儲驗證用戶的憑據(jù)。
3.如果登錄成功，則創(chuàng)建一個會話來存儲用戶信息，并設(shè)置一個標志來表示用戶已登錄。
4.對于希望限制訪問的每個HTML文件，在文件的頂部包含PHP代碼，用于檢查用戶是否已登錄。如果用戶未登錄，請將其重定向到登錄頁面。
5.當用戶注銷時，銷毀會話并清除登錄標志。
一. 登陸腳本
這里需要注意程序是否具有對保存session目錄的讀取和寫入權(quán)限。
login.php
<?php
session_start();
// Define the valid credentials
define('VALID_USERNAME', 'myusername');
define('VALID_PASSWORD', 'mypassword');
// Check if the form was submitted
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// Get the username and password from the form
$username = $_POST['username'];
$password = $_POST['password'];
// Check if the credentials are valid
if ($username === VALID_USERNAME && $password === VALID_PASSWORD) {
// If the credentials are valid, start a session and redirect to the protected area
$_SESSION['loggedin'] = true;
header('Location: protected.php');
exit;
} else {
// If the credentials are not valid, display an error message
$error = 'Invalid username or password.';
}
}
?>
<!DOCTYPE html>
<html>
<head>
<title>Login</title>
</head>
<body>
<h1>Login</h1>
<?php if (isset($error)) { ?>
<p><?php echo $error; ?></p>
<?php } ?>
<form action="login.php" method="post">
<label for="username">Username:</label>
<input type="text" name="username" id="username" required>
<br>
<label for="password">Password:</label>
<input type="password" name="password" id="password" required>
<br>
<button type="submit">Login</button>
</form>
</body>
</html>這是一個使用PHP編寫的簡單登錄系統(tǒng)的示例代碼，它采用了常量來定義有效的用戶名和密碼。當用戶提交登錄表單時，腳本會檢查輸入的憑據(jù)是否與有效值匹配。如果憑據(jù)正確，腳本會設(shè)置一個會話變量以表示用戶已登錄，并重定向到受保護的區(qū)域。如果憑據(jù)不正確，腳本會顯示一個錯誤消息。請注意，這只是一個簡單的示例，不適用于生產(chǎn)環(huán)境。在真實的應(yīng)用中，您需要安全地存儲用戶憑據(jù)，并保護免受常見的安全漏洞，如SQL注入和跨站腳本攻擊（XSS）。
下面是另外一個UI經(jīng)過優(yōu)化的示例。
<?php
ob_start(); // start output buffering
session_start();
// If the user is already logged in, redirect to the protected page
if (isset($_SESSION['loggedin']) && $_SESSION['loggedin'] === true) {
header('Location: lsfile.php');
exit;
}
// Check if the user submitted the login form
if (isset($_POST['username']) && isset($_POST['password'])) {
// Verify the username and password (replace with your own verification code)
if ($_POST['username'] === 'example' && $_POST['password'] === 'password') {
// Authentication successful, set session variables
$_SESSION['loggedin'] = true;
$_SESSION['username'] = $_POST['username'];
// Redirect to the protected page
header('Location: lsfile.php');
exit;
} else {
// Authentication failed, display error message
$error = 'Incorrect username or password';
}
}
?>
<!DOCTYPE html>
<html>
<head>
<title>Login</title>
<style>
body {
background-color: #f2f2f2;
}
#login-form {
max-width: 400px;
margin: 0 auto;
background-color: #fff;
padding: 20px;
border-radius: 5px;
box-shadow: 0 2px 5px rgba(0, 0, 0, 0.3);
}
h1 {
text-align: center;
margin-bottom: 20px;
}
label {
display: block;
margin-bottom: 5px;
font-weight: bold;
}
input[type="text"],
input[type="password"] {
width: 100%;
padding: 10px;
border-radius: 3px;
border: 1px solid #ccc;
margin-bottom: 20px;
}
button {
background-color: #4CAF50;
color: #fff;
padding: 10px 20px;
border: none;
border-radius: 3px;
cursor: pointer;
}
button:hover {
background-color: #45a049;
}
.error-message {
color: #f00;
font-weight: bold;
margin-bottom: 10px;
}
</style>
</head>
<body>
<div id="login-form">
<h1>Login</h1>
<?php if (isset($error)) { ?>
<p class="error-message"><?php echo $error; ?></p>
<?php } ?>
<form method="post" action="login.php">
<label for="username">Username:</label>
<input type="text" id="username" name="username">
<label for="password">Password:</label>
<input type="password" id="password" name="password">
<button type="submit">Log in</button>
</form>
</div>
</body>
</html>
<?php
ob_end_flush(); // flush output buffer
?>上面代碼中首先使用 ob_start() 函數(shù)開啟輸出緩存，然后使用 session_start() 函數(shù)開啟會話，如果用戶已經(jīng)登錄，就將頁面重定向到受保護的頁面 lsfile.php，如果用戶還沒有登錄，就顯示登錄表單。
如果用戶提交了登錄表單，就進行身份驗證。在這里，使用了簡單的用戶名和密碼驗證，如果驗證成功，就將會話變量 $_SESSION['loggedin'] 和 $_SESSION['username'] 設(shè)置為 true 和用戶名，然后將頁面重定向到受保護的頁面。如果驗證失敗，就顯示錯誤消息 $error。
HTML 代碼包含一個標題和一個表單，表單包含用戶名和密碼輸入框以及一個提交按鈕。在表單提交時，將表單數(shù)據(jù)發(fā)送到相同的腳本 login.php 中進行處理。
這個登錄頁面還包含一些 CSS 樣式，用于設(shè)置頁面布局和樣式。ob_end_flush() 函數(shù)用于刷新輸出緩存并輸出內(nèi)容。
如果別人想要破解這個登錄頁面，他們可能會使用以下方法：
1.字典攻擊：攻擊者可能會使用常見的用戶名和密碼組合構(gòu)建一個字典文件，并嘗試使用字典文件中的用戶名和密碼來嘗試登錄。
2.暴力攻擊：攻擊者可能會使用程序來生成隨機的用戶名和密碼，并嘗試使用這些憑據(jù)來嘗試登錄。暴力攻擊需要大量的計算資源和時間。
3.SQL 注入攻擊：如果輸入的用戶名和密碼沒有正確地過濾和驗證，攻擊者可能會嘗試在 SQL 查詢中注入惡意代碼，從而繞過身份驗證并訪問受保護的頁面。
4.XSS 攻擊：如果登錄頁面沒有對用戶輸入的內(nèi)容進行適當?shù)倪^濾和轉(zhuǎn)義，攻擊者可能會在頁面上注入惡意腳本，從而獲取用戶的登錄憑據(jù)或執(zhí)行其他惡意操作。
5.社會工程學攻擊：攻擊者可能會嘗試通過欺騙用戶來獲取其登錄憑據(jù)，例如通過釣魚郵件或偽裝成真實的登錄頁面。
為了確保登錄頁面的安全性，應(yīng)該采取以下措施：
1.使用強密碼策略：要求用戶使用包含大小寫字母、數(shù)字和符號的復(fù)雜密碼，并限制密碼長度和重復(fù)使用密碼。
2.實施驗證碼：為登錄頁面添加驗證碼，以確保登錄請求來自真實用戶而不是自動化程序。
3.使用 HTTPS：使用 HTTPS 協(xié)議來加密登錄頁面和用戶憑據(jù)，以防止中間人攻擊和數(shù)據(jù)泄露。
4.進行輸入驗證：對輸入的用戶名和密碼進行驗證和過濾，以防止 SQL 注入和 XSS 攻擊。
5.實施多重身份驗證：使用多個身份驗證因素，例如密碼和短信驗證碼，來提高安全性。
6.更新和監(jiān)測登錄活動：記錄和監(jiān)控用戶的登錄活動，及時發(fā)現(xiàn)和響應(yīng)異常登錄行為。
二. 受保護的網(wǎng)頁示例
下面是一個示例代碼，演示如何在 PHP 中使用會話檢查用戶是否已登錄，以及如何保護需要身份驗證的頁面：
<?php
session_start();
// Check if the user is logged in
if (!isset($_SESSION['loggedin']) || $_SESSION['loggedin'] !== true) {
// If the user is not logged in, redirect to the login page
header('Location: login.php');
exit;
}
?>
<!DOCTYPE html>
<html>
<head>
<title>Protected Page</title>
</head>
<body>
<h1>Protected Page</h1>
<p>This page is only accessible to logged-in users.</p>
<p><a href="logout.php">Logout</a></p>
</body>
</html>這個代碼文件首先啟動會話，然后檢查用戶是否已經(jīng)登錄。如果用戶沒有登錄，腳本會將瀏覽器重定向到登錄頁面。否則，腳本會顯示一個受保護的頁面，只有登錄用戶才能訪問。頁面上還包括一個鏈接，可以讓用戶注銷并結(jié)束會話。
下面是另外一個示例
<?php
session_start();
// If the user is not logged in, redirect to the login page
if (!isset($_SESSION['loggedin']) || $_SESSION['loggedin'] !== true) {
header('Location: login.php');
exit;
}
// If the user clicked the logout link, log them out and redirect to the login page
if (isset($_GET['logout'])) {
session_destroy(); // destroy all session data
header('Location: login.php');
exit;
}
?>
<!DOCTYPE html>
<html>
<head>
<title>Protected Page</title>
<style>
/* Add some basic styling */
body {
font-family: Arial, sans-serif;
text-align: center;
}
h1 {
font-size: 36px;
margin-top: 50px;
}
p {
font-size: 18px;
margin-top: 20px;
margin-bottom: 20px;
}
a {
font-size: 18px;
color: blue;
}
</style>
</head>
<body>
<header>
<h1>Welcome to the Protected Page</h1>
</header>
<main>
<p>You have successfully logged in.</p>
<p><a href="protected.php?logout=true">Logout</a></p>
</main>
<footer>
<p>Copyright © 2023 Your Company Name</p>
</footer>
</body>
</html>三. 注銷腳本
這里是一個簡單的 logout.php 示例代碼，用于在 PHP 中結(jié)束會話并注銷用戶：
<?php
session_start();
// Unset all of the session variables
$_SESSION = array();
// Destroy the session
session_destroy();
// Redirect to the login page
header('Location: login.php');
exit;
?>這個代碼文件首先啟動會話，然后通過將 $_SESSION 數(shù)組設(shè)置為空數(shù)組來清除所有會話變量。然后，通過調(diào)用 session_destroy() 函數(shù)來銷毀會話，并確保刪除會話 cookie。最后，腳本將瀏覽器重定向到登錄頁面。
注意，在銷毀會話之前，您可能還需要進行其他一些清理操作，如清除任何持久登錄 cookie 或刪除會話數(shù)據(jù)庫中的條目。
四. 注意事項（session常見報錯）
報錯1：會話存儲目錄/var/lib/php/session屬組為apache，實際應(yīng)該是nginx
php報錯，如何解決，2023/04/11 12:50:26 [error] 1512#1512: *22 FastCGI sent in stderr: "PHP message: PHP Warning: Unknown: open(/var/lib/php/session/sess_espb5d8tqnhufh7djlledte2g5, O_RDWR) failed: Permission denied (13) in Unknown on line 0
PHP message: PHP Warning: Unknown: Failed to write session data (files). Please verify that the current setting of session.save_path is correct (/var/lib/php/session) in Unknown on line 0" while reading upstream, client: 28.247.135.8, server: 10.200.215.127, request: "POST /login.php HTTP/1.1", upstream: "fastcgi://127.0.0.1:9000", host: "10.200.215.127", referrer: "Login"
分析：
這個錯誤信息是由于PHP應(yīng)用程序無法寫入會話數(shù)據(jù)導(dǎo)致的。這通常是由于會話存儲目錄的權(quán)限設(shè)置不正確或者會話存儲目錄不存在引起的。要解決這個問題，您可以按照以下步驟進行操作：
確認會話存儲目錄是否存在，并具有足夠的權(quán)限讓PHP應(yīng)用程序?qū)懭霑挃?shù)據(jù)文件。您可以使用ls和chmod命令來檢查和更改目錄的權(quán)限，例如：
ls -ld /var/lib/php/session
chmod 733 /var/lib/php/session檢查php.ini文件中session.save_path設(shè)置是否正確，并確保它指向?qū)嶋H存在的目錄。您可以使用以下命令查找php.ini文件：
php -i | grep 'php.ini'然后使用nano或vim編輯器打開php.ini文件并查找session.save_path設(shè)置。
重啟PHP-FPM或Web服務(wù)器以確保更改生效：
systemctl restart php-fpm
systemctl restart nginx如果您仍然遇到相同的錯誤，請檢查其他可能的問題，例如磁盤空間不足或文件系統(tǒng)故障等。
解決方法：
會話存儲目錄/var/lib/php/session的權(quán)限設(shè)置為drwxrwx---，屬主為root，屬組為apache。這意味著只有root用戶和apache組的用戶才有權(quán)限讀、寫、執(zhí)行這個目錄。
如果您的PHP應(yīng)用程序運行在nginx用戶下，它將無法訪問會話存儲目錄，從而導(dǎo)致類似于"Permission denied"的錯誤。要解決這個問題，您可以考慮以下幾種解決方案之一：
將nginx用戶添加到apache組中，以便nginx用戶可以訪問會話存儲目錄：
usermod -a -G apache nginx然后重新啟動nginx服務(wù)：
systemctl restart nginx更改會話存儲目錄的權(quán)限，以便nginx用戶有權(quán)訪問該目錄：
chmod 777 /var/lib/php/session請注意，這種方式會使會話存儲目錄變得不安全，因為任何人都可以讀、寫、執(zhí)行該目錄中的文件。因此，建議在生產(chǎn)環(huán)境中避免使用這種方式。
將會話存儲方式更改為使用其他存儲機制，例如Memcached或Redis，以避免使用文件系統(tǒng)存儲會話數(shù)據(jù)。
您可以在php.ini文件中找到session.save_handler和session.save_path設(shè)置來更改會話存儲機制。有關(guān)更多信息，請參閱PHP文檔。
請注意，這種方式需要安裝和配置額外的軟件和服務(wù)，并可能會對性能產(chǎn)生影響。因此，建議在必要時使用這種方式。
五. Hash函數(shù)字符串轉(zhuǎn)換
下面代碼使用PHP編寫的Web頁面代碼，主要是用于展示如何使用哈希函數(shù)來轉(zhuǎn)換字符串。下面是對這段代碼的分析：
1.代碼開始使用session_start()函數(shù)啟用會話，并且檢查用戶是否已經(jīng)登錄，如果沒有則將用戶重定向到登錄頁面。
2.如果用戶已經(jīng)登錄，則檢查URL參數(shù)logout是否存在。如果存在，表示用戶點擊了退出鏈接，將銷毀當前會話并重定向到登錄頁面。
3.然后，代碼開始構(gòu)建HTML頁面。在頁面中，用戶可以輸入用戶名和密碼，并且通過點擊“轉(zhuǎn)換”按鈕，將使用SHA-256哈希函數(shù)將用戶名和密碼轉(zhuǎn)換為哈希值。
4.如果用戶已經(jīng)提交了表單，代碼會從$_POST數(shù)組中獲取提交的用戶名和密碼，并使用hash()函數(shù)計算它們的SHA-256哈希值。然后，它將結(jié)果顯示在一個<div>元素中。
5.如果用戶還沒有提交表單，代碼將顯示一個表單，讓用戶輸入用戶名和密碼。
總之，這段代碼主要是用于展示如何使用PHP和哈希函數(shù)來加密用戶的敏感數(shù)據(jù)。同時，它還演示了如何使用會話來控制用戶的訪問權(quán)限。
<?php
session_start();
// If the user is not logged in, redirect to the login page
if (!isset($_SESSION['loggedin']) || $_SESSION['loggedin'] !== true) {
header('Location: login.php');
exit;
}
// If the user clicked the logout link, log them out and redirect to the login page
if (isset($_GET['logout'])) {
session_destroy(); // destroy all session data
header('Location: login.php');
exit;
}
?>
<!DOCTYPE html>
<html>
<head>
<title>哈希函數(shù)轉(zhuǎn)換</title>
<style>
body {
font-family: Arial, sans-serif;
background-color: #f2f2f2;
}
h1 {
text-align: center;
margin-top: 50px;
}
form {
width: 400px;
margin: 50px auto;
background-color: #fff;
padding: 20px;
border-radius: 10px;
box-shadow: 0px 0px 10px rgba(0,0,0,0.2);
}
input[type="text"], input[type="password"] {
width: 100%;
padding: 10px;
border: none;
border-radius: 5px;
margin-bottom: 20px;
box-sizing: border-box;
}
input[type="submit"] {
background-color: #4CAF50;
color: white;
padding: 10px 20px;
border: none;
border-radius: 5px;
cursor: pointer;
}
input[type="submit"]:hover {
background-color: #3e8e41;
}
.hash-result {
width: 660px;
margin: 50px auto;
background-color: #fff;
padding: 20px;
border-radius: 10px;
box-shadow: 0px 0px 10px rgba(0,0,0,0.2);
text-align: center;
}
</style>
</head>
<body>
<h1>使用哈希函數(shù)轉(zhuǎn)換字符串</h1>
<?php
if (isset($_POST['submit'])) {
$username = $_POST['username'];
$password = $_POST['password'];
$username_hash = hash('sha256', $username);
$password_hash = hash('sha256', $password);
echo '<div class="hash-result">';
echo '<p>用戶名的哈希值為：' . $username_hash . '</p>';
echo '<p>密碼的哈希值為：' . $password_hash . '</p>';
echo '</div>';
} else {
echo '<form method="post">';
echo '<label for="username">用戶名：</label>';
echo '<input type="text" id="username" name="username" required>';
echo '<label for="password">密碼：</label>';
echo '<input type="password" id="password" name="password" required>';
echo '<input type="submit" name="submit" value="轉(zhuǎn)換">';
echo '</form>';
}
?>
</body>
</html>六. php登陸腳本（哈希值驗證）
下面一段使用PHP編寫的用戶登錄頁面代碼，主要用于驗證用戶的憑據(jù)并授權(quán)訪問受保護的頁面。下面是對這段代碼的分析：
1.代碼開頭使用ob_start()函數(shù)啟用輸出緩沖區(qū)，并使用session_start()函數(shù)啟用會話。
2.代碼中定義了用戶名和密碼的哈希值，這些哈希值是預(yù)先計算的。在實際的應(yīng)用程序中，這些哈希值應(yīng)該存儲在數(shù)據(jù)庫中，并與用戶輸入的憑據(jù)進行比較。
3.如果用戶已經(jīng)登錄，代碼將重定向到受保護的頁面lsfile.php。
4.如果用戶提交了登錄表單，代碼將獲取表單中的用戶名和密碼，并將其哈希。然后，代碼將這些哈希值與預(yù)先計算的哈希值進行比較。如果匹配成功，代碼將設(shè)置會話變量loggedin和username，并將用戶重定向到受保護的頁面lsfile.php。否則，代碼將顯示錯誤消息。
5.頁面中包含一個表單，允許用戶輸入用戶名和密碼。如果有錯誤消息，代碼將顯示它們。
6.頁面中的JavaScript代碼使用了CSS樣式表來格式化表單元素和頁面布局。
7.最后，代碼使用ob_end_flush()函數(shù)刷新輸出緩沖區(qū)。
總的來說，這段代碼是一個簡單的用戶登錄頁面，提供基本的用戶認證功能。但是，實際的應(yīng)用程序需要更多的安全性和認證功能，例如密碼重置、多因素身份驗證等。
<?php
ob_start(); // start output buffering
session_start();
// Store the hashed username and password
$hashed_username = '04f8996da763b7a969b1028ee3007569eaf3a635486ddab211d512c85b9df8fb';
$hashed_password = '98c1eb4ee93476743763878fcb96a25fbc9a175074d64004779ecb5242f645e6';
// If the user is already logged in, redirect to the protected page
if (isset($_SESSION['loggedin']) && $_SESSION['loggedin'] === true) {
header('Location: lsfile.php');
exit;
}
// Check if the user submitted the login form
if (isset($_POST['username']) && isset($_POST['password'])) {
// Verify the username and password (replace with your own verification code)
$submitted_username_hash = hash('sha256', $_POST['username']);
$submitted_password_hash = hash('sha256', $_POST['password']);
// Compare the submitted values with the stored hashes
if (hash_equals($hashed_username, $submitted_username_hash) && hash_equals($hashed_password, $submitted_password_hash)) {
// Authentication successful, set session variables
$_SESSION['loggedin'] = true;
$_SESSION['username'] = $_POST['username'];
// Redirect to the protected page
header('Location: lsfile.php');
exit;
} else {
// Authentication failed, display error message
$error = 'Incorrect username or password';
}
}
?>
<!DOCTYPE html>
<html>
<head>
<title>Login</title>
<style>
body {
background-color: #f2f2f2;
}
#login-form {
max-width: 400px;
margin: 0 auto;
background-color: #fff;
padding: 20px;
border-radius: 5px;
box-shadow: 0 2px 5px rgba(0, 0, 0, 0.3);
}
h1 {
text-align: center;
margin-bottom: 20px;
}
label {
display: block;
margin-bottom: 5px;
font-weight: bold;
}
input[type="text"],
input[type="password"] {
width: 100%;
padding: 10px;
border-radius: 3px;
border: 1px solid #ccc;
margin-bottom: 20px;
}
button {
background-color: #4CAF50;
color: #fff;
padding: 10px 20px;
border: none;
border-radius: 3px;
cursor: pointer;
}
button:hover {
background-color: #45a049;
}
.error-message {
color: #f00;
font-weight: bold;
margin-bottom: 10px;
}
</style>
</head>
<body>
<div id="login-form">
<h1>Login</h1>
<?php if (isset($error)) { ?>
<p class="error-message"><?php echo $error; ?></p>
<?php } ?>
<form method="post" action="login.php">
<label for="username">Username:</label>
<input type="text" id="username" name="username">
<label for="password">Password:</label>
<input type="password" id="password" name="password">
<button type="submit">Log in</button>
</form>
</div>
</body>
</html>
<?php
ob_end_flush(); // flush output buffer
?>總結(jié)
有很多編程語言和框架可以用來構(gòu)建登錄系統(tǒng)，并提供類似于PHP的功能。
一些流行的Web開發(fā)框架，如Ruby on Rails、Django（Python）和ASP.NET（C#），提供了內(nèi)置的身份驗證系統(tǒng)，使得添加用戶注冊、登錄和注銷功能變得簡單。
其他編程語言，如Node.js（JavaScript）、Java和Go也可以使用各種Web開發(fā)框架和庫來構(gòu)建登錄系統(tǒng)。
關(guān)鍵是選擇一種適合您的開發(fā)技能和項目要求的語言和框架，并遵循安全和用戶身份驗證的最佳實踐。
