PHP 로그인은 안전한가요? [Boilerplate]

Question

템플릿으로 사용할 php-Login을 만들었습니다.

https://github.com/sinky/php-login-boilerplate

내 질문이-로그인 PHP는 안전합니까? 제대로 작동합니까? 비밀번호없이 로그인 할 수 있습니까? (SSL은 고려되지 않았습니다.)

감사합니다. 인사말 Marco

Answer 1

아니요.

이

은 CSRF에 취약하다 :

header("location: login.php"); 
exit; 

:

sleep($_SESSION['loginFail']); 

이 좋은 동작입니다 :

if($_GET['logout']) { 
    session_destroy();  
} 

이, 당신이 쿠키는 로그인을 시도 할 때마다 단지 명확 우회 간단하다

header()는 스크립트 실행을 중지하지 않습니다. 또한 예, 로그인과 세션 ID는 항상 HTTPS를 통해 전송되어야합니다 (읽기 : OWASP A9).