PHP 中的 Google Authenticator 基于时间的授权

Question

我需要在 PHP 中实现 Google 身份验证器。为了实现这一点，我使用了这个库：https://github.com/PHPGangsta/GoogleAuthenticator 这个方法基于秘密令牌，它知道我手机中的 PHP 应用程序和 Google 身份验证器。我不明白的一件事是如何以安全的方式将秘密存储在数据库中。因为如果有人从 db 窃取了秘密，则能够生成将通过控制的代码。我想我不能将它作为原始值存储在数据库中。我说的对吗？

Answer 1

你绝对应该加密它。

事实上，您应该加密存储在数据库中的所有数据，这是最佳做法（显然，您应该对密码进行哈希处理，而不是对其进行加密），尤其是敏感数据。