php - 密码发布的最佳做法是什么？

Question

我目前正在开发一个需要登录的小型内部 PHP 应用程序。凭据将使用 LDAP 进行身份验证，但我想知道通过表单传递 AD 用户名和密码有多安全？

认证页面代码：

    <?php

// using ldap bind
$ldaprdn  = $_POST['username'];
$ldappass = $_POST['password'];
// connect to ldap server
$ldapconn = ldap_connect("SERVERNAME")
    or die("Could not connect to LDAP server.");

if ($ldapconn) {

    // binding to ldap server
    $ldapbind = ldap_bind($ldapconn, $ldaprdn, $ldappass);

    // verify binding
    if ($ldapbind) {
        echo "LDAP bind successful...";
    } else {
        echo "LDAP bind failed...";
    }

}

?>

Answer 1

采用

• https
• 发布/重定向/获取
• 确保您的实用程序未连接到 Internet，仅连接到您的 Intranet
• CSRF 保护
• 不要将此信息存储在 cookie、文件等中。