Web サイトを安全に: PHP ログイン認証システムの開発戦略

// 对密码进行加密
$password = 'my_password';
$hashedPassword = password_hash($password, PASSWORD_BCRYPT);

// 验证密码
if(password_verify($password, $hashedPassword)){
    echo '密码验证成功';
} else {
    echo '密码验证失败';
}

// 生成验证码
$captchaCode = generateCaptcha();

// 将验证码保存到SESSION中
$_SESSION['captcha'] = $captchaCode;

// 显示验证码图片
header('Content-Type: image/png');
imagepng($captchaCode);

// 生成验证码图片的函数
function generateCaptcha($width = 100, $height = 30, $length = 4) {
    $code = generateRandomCode($length);
    $image = imagecreate($width, $height);
    $bgColor = imagecolorallocate($image, 255, 255, 255);
    $fontColor = imagecolorallocate($image, 0, 0, 0);
    
    for($i = 0; $i < strlen($code); $i++) {
        imagechar($image, 5, $i * ($width / $length), rand(2, 10), $code[$i], $fontColor);
    }
    
    return $image;
}

// 生成随机验证码
function generateRandomCode($length) {
    $code = '';
    $characters = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789';
    
    for($i = 0; $i < $length; $i++) {
        $code .= $characters[rand(0, strlen($characters) - 1)];
    }
    
    return $code;
}

// 验证登录
function validateLogin($username, $password) {
    // 验证账号和密码
    if(validCredentials($username, $password)) {
        // 登录成功，清除登录失败次数
        unset($_SESSION['login_attempts']);
        return true;
    } else {
        // 登录失败，增加登录失败次数
        if(!isset($_SESSION['login_attempts'])){
            $_SESSION['login_attempts'] = 0;
        }
        
        $_SESSION['login_attempts']++;
        
        // 如果登录失败次数超过5次，锁定账号5分钟
        if($_SESSION['login_attempts'] >= 5){
            $_SESSION['account_locked'] = time() + 300;
        }
        
        return false;
    }
}

// 检查账号是否被锁定
function isAccountLocked() {
    if(isset($_SESSION['account_locked'])) {
        // 如果当前时间小于锁定时间，表示账号锁定
        if($_SESSION['account_locked'] > time()) {
            return true;
        } else {
            // 锁定时间已过，清除锁定状态
            unset($_SESSION['account_locked']);
            unset($_SESSION['login_attempts']);
            return false;
        }
    } else {
        return false;
    }
}