如何使用 Nonce 保护 Web 请求
问题
用户找到了一种利用网站评分系统的请求验证系统的方法，方法是：复制高价值的 HTTP 请求。这会损害系统的完整性和可靠性。
解决方案：实现 Nonce 系统
Nonce（使用过一次的数字）是通过确保特定请求未被处理来防止请求重放攻击的值。之前做的。这是实现随机数系统的常见且安全的方法：
服务器端随机数生成和验证
getNonce() 函数
- 识别发出请求的客户端（例如，通过用户名，
- 使用安全哈希函数（例如 SHA512）生成随机数。
- 将随机数存储在与客户端 ID 关联的数据库中。
- 返回随机数到client.
verifyNonce() 函数
- 获取客户端 ID 之前存储的随机数。
- 从其中删除随机数数据库（以防止其被重用）。
- 生成哈希与客户端提供的随机数 (cnonce)、请求数据和秘密盐。
- 将生成的哈希值与客户端提供的哈希值进行比较。
- 如果哈希值匹配，则返回 true，指示有效的随机数。
客户端随机数用法
sendData() 函数
- 使用 getNonce() 函数从服务器检索随机数。
- 生成客户端特定的随机数使用安全哈希函数的随机数 (cnonce)。
- 连接服务器nonce、客户端随机数和请求数据。
- 根据连接值生成哈希。
- 将请求发送到服务器，包括数据、cnonce 和哈希。
安全注意事项
-
随机数生成： makeRandomString() 函数应生成高度不可预测的随机数以增强安全性。
-
安全哈希函数： 利用强大的哈希函数（如 SHA512 或 bcrypt）进行与随机数相关的哈希计算。
-
每个请求单次使用： Nonce 应该只使用一次并从存储中删除以防止重放攻击。
以上是Nonce 如何保护 Web 请求免受重放攻击？的详细内容。更多信息请关注PHP中文网其他相关文章！
