php - 隐藏管理 URL 的安全管理系统

Question

隐藏管理员 URL 以防止被黑客破坏真的是个好主意吗？即使黑客拥有用户名和密码，黑客如何在不知道 URL 的情况下进入管理区域？

Answer 1

你的意思是通过默默无闻的安全性，这是一个非常非常非常糟糕的主意......

Answer 2

不，我认为这不是一个好主意，主要是因为它可能毫无意义，因为与专业人员实施、更新和使用的久经考验的安全方法和实践相比，你可能获得的任何少量安全都是可怕的。

此外，编码和维护更有可能令人头疼，尤其是在询问有关自制安全性的建议时。

即使您隐藏了一些“admin-area.php”URL，如果“他们”可以通过重定向、框架（urgh）、htaccess 重写或其他一些您发明的不显示它们的坏方法访问管理区域一些 URL，然后他们仍然可以访问可能造成破坏的管理区域，因此它存在于他们身上，因此它适用于黑客/等。（URL 没有意义，它是带有数据库查询等的实际脚本，需要安全）。

蛮力和黑客攻击可以通过通常的尝试和测试的安全方法来处理（我的意思是最好的），使用适当的登录系统，每个用户使用 bcrypt/blowfish/随机盐或类似的密码标准（不是 MD5 或SHA) 并让用户选择至少 X 个字符、一个大写字母和一个数字，正确使用 PDO/MYSQLI，并且在对任何用户输入执行任何操作之前，使用 strlen、is_numeric、一些正则表达式验证它以摆脱坏字符（等）。