身份验证流程步骤顺序和验证码功能

Question

我没有找到定义身份验证步骤的任何好的参考（至少步骤顺序）。

更具体地说，我感兴趣的步骤应该是什么顺序：

1. 用户名验证（是否找到用户名）；
2. 密码验证；
3. 凭据已过期或未过期。
4. Credentails 临时或非临时
5. 验证码验证。

我了解，在特定情况下，这些步骤的顺序并不那么重要，但通常最好了解这些建议。甚至是为了为系统创建适当的用例。

例如，它可以以不同的方式设计：

1. 系统只能提供用户名或密码不正确的一般消息。如果验证码信息不正确，则相同。

2. 系统可以提供更多不同的消息。例如，不正确的验证码将提供类似于“输入了不正确的验证码”的消息； 错误的用户名或密码信息将是“用户名或密码不正确”。 （我不确定从安全角度来看是否可以）

问题是什么用例更好？ （最好提供一些证据证明使用适当的论据会更好）。

Answer 1

这取决于很多原因。但我会这样做：

客户端

1. 如果需要，检查一般要求，例如用户名和密码长度并提示用户，这可以在 javascript 中完成。

不要忘记此代码将是公开的，这意味着黑客会看到此要求并在进行攻击时将其考虑在内。

服务器端

1. 验证码验证。首先执行此操作，因为如果失败，则无需使用您的数据库进行查找。（我假设您在这里使用某种第三方服务）

2. 用户名和密码检查，因为这将是第二常见的失败。

3. 凭证已过期或未过期，Credentails 临时或非临时，任何顺序。

---

很高兴知道：

2 和 3 也可能（取决于您的架构）在一个数据库查找中完成。如果您使用 SQL 数据库，请不要忘记使用prepared statements。

您还可以在服务器端做很多事情来检测攻击尝试并在有问题时限制权限。例如，在 X 次登录尝试失败后临时禁止用户帐户。存储 IP 地址并将其与位置匹配。例如，美国用户在 10 分钟后从中国登录是可疑行为（Facebook 和其他人这样做）。

确保您确切知道您在客户端和服务器端做什么以及执行顺序。一个好主意可以是绘制信息流图。并使用拦截代理查看发送的内容。密码是否清楚发送？（使用 ssl 并在客户端对其进行哈希处理，而不是说您不再对它们（和盐）服务器端进行哈希处理，以便该方法尽可能保密）