Aktualizacja (14 maja 2010 r.):
Okazuje się, że rosyjski programista Ilya Konyukhov po przeczytaniu tego podniósł rękawicę i stworzył nową bibliotekę auth dla CI opartą na DX Auth, zgodnie z poniższymi zaleceniami i wymaganiami.
Powstały Auth Tank wygląda jak odpowiedź na pytanie PO. Mam zamiar wyjść tutaj na całość i nazwać Tank Auth najlepszą dostępną dzisiaj biblioteką uwierzytelniania CodeIgniter. To solidna biblioteka, która ma wszystkie funkcje, których potrzebujesz, i nie ma nadęty:
Tank Auth
Plusy
- Pełna funkcjonalność
- Lean footprint (20 plików), biorąc pod uwagę zestaw funkcji
- Bardzo dobra dokumentacja
- Prosty i elegancki projekt bazy danych (tylko 4 tabele DB)
- Większość funkcji jest opcjonalna i łatwa do skonfigurowania
- Obsługa plików językowych
- Obsługa reCAPTCHA
- Podłącza się do systemu sprawdzania poprawności CI
- E-maile aktywacyjne
- Zaloguj się przy użyciu adresu e-mail, nazwy użytkownika lub obu (konfigurowalne)
- Nieaktywowane konta wygasają automatycznie
- Prosta, ale skuteczna obsługa błędów
- Używa phpass do mieszania (a także szyfruje kody autologin w DB)
- Nie używa pytań bezpieczeństwa
- Oddzielenie danych użytkownika i profilu jest bardzo miłe
- Bardzo rozsądny model bezpieczeństwa dotyczący nieudanych prób logowania (dobra ochrona przed botami i atakami DoS)
(Drobne) Wady
- Kody utraconych haseł nie są mieszane w DB
- Zawiera natywną (słabą) CAPTCHA, co jest miłe dla tych, którzy nie chcą polegać na usłudze reCAPTCHA (należącej do Google), ale tak naprawdę nie jest wystarczająco bezpieczny
- Bardzo rzadka dokumentacja online (tutaj drobny problem, ponieważ kod jest dobrze udokumentowany i intuicyjny)
Pobierz Tank Auth tutaj
Oryginalna odpowiedź:
Zaimplementowałem również własne (obecnie około 80% wykonanych po kilku tygodniach pracy). Najpierw wypróbowałem wszystkie pozostałe; FreakAuth Light, DX Auth, Redux, SimpleLogin, SimpleLoginSecure, pc_user, Fresh Powered i kilka innych. Żadne z nich nie dorównywało IMO, albo brakowało im podstawowych funkcji, z natury NIEBEZPIECZNYCH, albo było zbyt rozdęte jak na mój gust.
Właściwie zrobiłem szczegółowy przegląd wszystkich bibliotek uwierzytelniających CodeIgniter, kiedy je testowałem (tuż po Nowym Roku). FWIW, podzielę się tym z tobą:
DX Auth
Plusy
- Bardzo w pełni funkcjonalny
- Średni rozmiar (ponad 25 plików), ale wydaje się być dość szczupły
- Doskonała dokumentacja, choć niektóre są w nieco zepsutym języku angielskim
- Obsługa plików językowych
- Obsługa reCAPTCHA
- Podłącza się do systemu sprawdzania poprawności CI
- E-maile aktywacyjne
- Nieaktywowane konta wygasają automatycznie
- Sugeruje grc.com dla soli (nieźle jak na PRNG)
- Banowanie z zapisanymi ciągami „przyczyny”
- Prosta, ale skuteczna obsługa błędów
Cons
- Pozwala tylko użytkownikom „zresetować” utracone hasło (zamiast pozwolić im wybrać nowe przy ponownej aktywacji)
- Model pseudo-zdarzeń homebrew - dobra intencja, ale nie trafia w sedno
- Dwa pola haseł w tabeli użytkowników, zły styl
- Wykorzystuje dwie oddzielne tabele użytkowników (jedna dla użytkowników tymczasowych - niejednoznaczna i nadmiarowa)
- Używa potencjalnie niebezpiecznego mieszania md5
- Nieudane próby logowania zapisane tylko przez IP, a nie według nazwy użytkownika - niebezpieczne!
- Klucz autologin nie jest mieszany w bazie danych - praktycznie tak niebezpieczny jak przechowywanie haseł w postaci czystego tekstu!
- System ról to kompletny bałagan: funkcja is_admin z zakodowanymi nazwami ról, is_role kompletny bałagan, check_uri_permissions to bałagan, cała tabela uprawnień jest złym pomysłem (URI może zmieniać i renderować strony bez ochrony; uprawnienia powinny być zawsze przechowywane dokładnie gdzie jest wrażliwa logika). Łamacz kruponów!
- Obejmuje natywną (słabą) CAPTCHA
- Interfejs funkcji reCAPTCHA jest nieuporządkowany
FreakAuth Light
Plusy
- Bardzo w pełni funkcjonalny
- Przeważnie całkiem dobrze udokumentowany kod
- Oddzielenie danych użytkownika i profilu to miły akcent
- Podłącza się do systemu sprawdzania poprawności CI
- E-maile aktywacyjne
- Obsługa plików językowych
- Aktywnie rozwinięty
Cons
- Czuje się nieco wzdęty (ponad 50 plików)
- A jednak nie ma automatycznego logowania do plików cookie (!)
- Nie obsługuje logowania przy użyciu nazwy użytkownika i adresu e-mail
- Wygląda na to, że występują problemy ze znakami UTF-8
- Wymaga dużo automatycznego ładowania (utrudnia wydajność)
- Źle zarządzany plik konfiguracyjny
- Straszna separacja kontrolerów od widoku, z dużą ilością logiki programu w widokach i wyjściem zakodowanym na stałe w kontrolerach. Łamacz kruponów!
- Słaby kod HTML w dołączonych widokach
- Obejmuje niespełniający normy CAPTCHA
- Komentowane debugowanie rozbrzmiewa wszędzie
- Wymusza określoną strukturę folderów
- Wymusza określoną bibliotekę Ajax (można ją przełączać, ale przede wszystkim nie powinno jej być)
- Brak maksymalnego limitu prób logowania - BARDZO niebezpieczny! Łamacz kruponów!
- Porywacze sprawdzają poprawność formularza
- Używa potencjalnie niebezpiecznego mieszania md5
użytkownik_komputera
Plusy
- Dobry zestaw funkcji ze względu na niewielką powierzchnię
- Lekki, bez wzdęć (3 pliki)
- Eleganckie automatyczne logowanie do plików cookie
- Pochodzi z opcjonalną implementacją testu (miły dotyk)
Cons
- Używa starej składni bazy danych CI (mniej bezpieczne)
- Nie łączy się z systemem sprawdzania poprawności CI
- Nieintuicyjny system statusu (roli) (indeksy do góry nogami - niepraktyczne)
- Używa potencjalnie niebezpiecznego mieszania sha1
Świeża moc
Plusy
Cons
- Brakuje wielu niezbędnych funkcji. Łamacz kruponów!
- Wszystko jest zakodowane na stałe. Łamacz kruponów!
Redux / Ion Auth
Według wiki CodeIgniter , Redux zostało przerwane, ale rozwidlenie Ion Auth rozwija się dobrze: https://github.com/benedmunds/CodeIgniter-Ion-Auth
Ion Auth to dobrze wyposażona biblioteka, która nie jest zbyt ciężka ani zbyt zaawansowana. W większości przypadków jego zestaw funkcji będzie więcej niż spełniał wymagania projektu.
Plusy
- Lekki i prosty w integracji z CodeIgniter
- Obsługuje wysyłanie wiadomości e-mail bezpośrednio z biblioteki
- Dobrze udokumentowana online i dobra aktywna społeczność deweloperów / użytkowników
- Prosty do wdrożenia w projekcie
Cons
- Bardziej złożony schemat DB niż niektóre inne
- W niektórych obszarach dokumentacji brakuje szczegółów
SimpleLoginSecure
Plusy
- Mały ślad (4 pliki)
- Minimalistyczny, absolutnie bez wzdęć
- Używa phpass do mieszania (doskonałe)
Cons
- Zaloguj się, wyloguj, utwórz i usuń
- Brakuje wielu niezbędnych funkcji. Łamacz kruponów!
- Bardziej jako punkt wyjścia niż biblioteka
Nie zrozum mnie źle: nie chcę lekceważyć żadnej z powyższych bibliotek; Jestem pod wielkim wrażeniem tego, co osiągnęli ich programiści i jak daleko zaszli każdy z nich, i nie jestem ponad tym, że ponownie wykorzystuję część ich kodu do zbudowania własnego. Mówię o tym, że czasami w tych projektach nacisk kładzie się z podstawowych „potrzebnych rzeczy” (takich jak twarde praktyki bezpieczeństwa) na łagodniejsze „miłe do zrobienia”, i mam nadzieję to naprawić .
Dlatego: powrót do podstaw.
Uwierzytelnienie dla CodeIgniter wykonane poprawnie
Oto moja MINIMALNA wymagana lista funkcji z biblioteki uwierzytelniania. Zdarza się też, że jest podzbiorem listy funkcji mojej biblioteki;)
- Mały ślad z opcjonalną implementacją testu
- Pełna dokumentacja
- Nie wymaga automatycznego ładowania. Ładowanie bibliotek w samą porę w celu zwiększenia wydajności
- Obsługa plików językowych; bez zakodowanych ciągów
- reCAPTCHA obsługiwane, ale opcjonalne
- Zalecane PRAWDZIWE losowe generowanie soli (np. Za pomocą random.org lub random.irb.hr)
- Opcjonalne dodatki do obsługi logowania stron trzecich (OpenID, Facebook Connect, konto Google itp.)
- Zaloguj się przy użyciu nazwy użytkownika lub adresu e-mail
- Rozdzielenie danych użytkownika i profilu
- E-maile dotyczące aktywacji i utraconych haseł
- Funkcja automatycznego logowania do plików cookie
- Konfigurowalny phpass do mieszania (oczywiście właściwie solony!)
- Mieszanie haseł
- Mieszanie kodów autologin
- Mieszanie zgubionych kodów haseł
- Podłącza się do systemu sprawdzania poprawności CI
- Bez pytań bezpieczeństwa!
- Wymuszone zasady silnych haseł po stronie serwera z opcjonalnym walidatorem po stronie klienta (Javascript)
- Wymuszona maksymalna liczba nieudanych prób logowania przy pomocy środków NAJLEPSZYCH PRAKTYK zarówno przeciwko atakom słownikowym, jak i DoS!
- Cały dostęp do bazy danych odbywa się poprzez przygotowane (powiązane) instrukcje!
Uwaga: te ostatnie kilka punktów nie jest przesadą o bardzo wysokim poziomie bezpieczeństwa, której nie potrzebujesz w swojej aplikacji internetowej. Jeśli biblioteka uwierzytelniająca nie spełnia tych standardów bezpieczeństwa w 100%, NIE UŻYWAJ!
Ostatnie głośne przykłady nieodpowiedzialnych programistów, którzy usunęli ich ze swojego oprogramowania: # 17 to sposób, w jaki e-mail Sarah Palin AOL został zhakowany podczas kampanii prezydenckiej; nieprzyjemna kombinacja # 18 i # 19 była ostatnio winowajcą, gdy włamano się na konta Britney Spears, Baracka Obamy, Fox News i innych; a tylko # 20 to sposób, w jaki chińskim hakerom udało się ukraść 9 milionów danych osobowych z ponad 70 000 koreańskich stron internetowych w jednym zaatakowanym automacie w 2008 roku.
Te ataki nie są operacjami mózgu. Jeśli pozostawisz szeroko otwarte tylne drzwi, nie powinieneś się łudzić fałszywym poczuciem bezpieczeństwa, ryglując przód. Co więcej, jeśli na tyle poważnie podchodzisz do kodowania, aby wybrać środowisko najlepszych praktyk, takie jak CodeIgniter, jesteś winien sobie, aby przynajmniej odpowiednio wykonać najbardziej podstawowe środki bezpieczeństwa.
<rant>
Zasadniczo oto, jak to jest: nie dbam o to, czy biblioteka auth oferuje wiele funkcji, zaawansowane zarządzanie rolami, zgodność z PHP4, ładne czcionki CAPTCHA, tabele krajów, kompletne panele administracyjne, dzwonki i gwizdki - jeśli biblioteka faktycznie robi moja witryna jest mniej bezpieczna, ponieważ nie przestrzegam najlepszych praktyk. To pakiet uwierzytelniający ; musi zrobić jedną właściwą rzecz: Uwierzytelnianie. Jeśli nie udaje mu się to , to rzeczywiście robi więcej szkody niż pożytku.
</rant>
/ Jens Roland