আপডেট (14 ই মে, 2010):
দেখা যাচ্ছে, রাশিয়ান বিকাশকারী ইলিয়া কোননিখভ এটি পড়ার পরে গন্টলেটটি বেছে নিয়েছিলেন এবং নীচে দেওয়া প্রস্তাবনা এবং প্রয়োজনীয়তা অনুসরণ করে ডিএক্স আথের উপর ভিত্তি করে সিআইয়ের জন্য একটি নতুন লেখক গ্রন্থাগার তৈরি করেছিলেন।
এবং ফলস্বরূপ ট্যাঙ্ক অউথ ওপি-র প্রশ্নের উত্তরের মতো দেখাচ্ছে। আমি এখানে একটি অঙ্গ নিয়ে বাইরে চলে যাচ্ছি এবং ট্যাঙ্ক আথকে আজ কোডইগনাইটারের জন্য সেরা প্রমাণীকরণ গ্রন্থাগার বলব। এটি একটি রক-সলিড লাইব্রেরিতে আপনার প্রয়োজনীয় সমস্ত বৈশিষ্ট্য রয়েছে এবং আপনার যে ফোটা নেই তা:
ট্যাঙ্ক আথ
পেশাদাররা
- সম্পূর্ণ বৈশিষ্ট্যযুক্ত
- বৈশিষ্ট্য সেট বিবেচনা করে হেলান পায়ের ছাপ (20 ফাইল)
- খুব ভাল ডকুমেন্টেশন
- সহজ এবং মার্জিত ডাটাবেস ডিজাইন (মাত্র 4 ডিবি টেবিল)
- বেশিরভাগ বৈশিষ্ট্যগুলি alচ্ছিক এবং সহজেই কনফিগার করা থাকে
- ভাষা ফাইল সমর্থন
- reCAPTCHA সমর্থিত
- সিআই এর বৈধতা সিস্টেমের মধ্যে তাকান
- অ্যাক্টিভেশন ইমেলগুলি
- ইমেল, ব্যবহারকারীর নাম বা উভয় (কনফিগারযোগ্য) দিয়ে লগইন করুন
- নিষ্ক্রিয় অ্যাকাউন্টগুলি স্বয়ংক্রিয়ভাবে মেয়াদোত্তীর্ণ হয়
- সহজ তবু কার্যকর ত্রুটি পরিচালনা
- হ্যাশিংয়ের জন্য phpass ব্যবহার করে (এবং ডিবিতে অটলজিন কোডগুলিও হ্যাশ করে)
- সুরক্ষা প্রশ্ন ব্যবহার করে না
- ব্যবহারকারী এবং প্রোফাইল ডেটা পৃথক করা খুব সুন্দর
- ব্যর্থ লগইন প্রয়াসের চারপাশে খুব যুক্তিসঙ্গত সুরক্ষা মডেল (বট এবং ডস আক্রমণগুলির বিরুদ্ধে ভাল সুরক্ষা)
(নাবালিকা) কনস
- হারানো পাসওয়ার্ড কোডগুলি ডিবিতে হ্যাশ করা হয় না
- একটি নেটিভ (দরিদ্র) ক্যাপচা অন্তর্ভুক্ত, যা তাদের (গুগলের মালিকানাধীন) রিপ্যাচচা সার্ভিসের উপর নির্ভর করতে চায় না তাদের পক্ষে দুর্দান্ত, তবে এটি সত্যই যথেষ্ট নিরাপদ নয়
- খুব বিচ্ছিন্ন অনলাইন ডকুমেন্টেশন (কোডটি এখানে নথিভুক্ত ও স্বজ্ঞাত হওয়ায় এখানে ছোটখাটো সমস্যা)
ট্যাঙ্ক এথ এখানে ডাউনলোড করুন
আসল উত্তর:
আমি নিজের প্রয়োগও করেছি (বর্তমানে কয়েক সপ্তাহের কাজ শেষে প্রায় ৮০% সম্পন্ন হয়েছে)। আমি প্রথমে অন্য সবার চেষ্টা করেছি; ফ্রিকআউথ লাইট, ডিএক্স অউথ, রেডাক্স, সিম্পলোগিন, সিম্পলোগিনসিকিউর, পিসি_উজার, টাটকা চালিত এবং আরও কয়েকটি। আইএমওগুলির মধ্যে কোনওটিই সমান ছিল না, হয় তাদের মধ্যে প্রাথমিক বৈশিষ্ট্যগুলি অন্তর্নিহিতভাবে সুরক্ষিত ছিল না, বা আমার স্বাদের জন্য খুব বেশি ফুলে উঠেছে।
প্রকৃতপক্ষে, আমি কোডইগিনিটারের জন্য সমস্ত প্রমাণীকরণ গ্রন্থাগারগুলির বিশদ রাউন্ডআপটি করেছি যখন আমি সেগুলি পরীক্ষা করে নিচ্ছিলাম (নতুন বছরের ঠিক পরে)। এফডাব্লুআইডাব্লু, আমি এটি আপনার সাথে ভাগ করব:
ডিএক্স আথ
পেশাদাররা
- খুব পূর্ণ বৈশিষ্ট্যযুক্ত
- মাঝারি পদচিহ্ন (25+ ফাইল), তবে বেশ স্লিম অনুভূত হয়
- দুর্দান্ত কিছু ডকুমেন্টেশন, যদিও কিছুটা সামান্য ভাঙা ইংরেজিতে
- ভাষা ফাইল সমর্থন
- reCAPTCHA সমর্থিত
- সিআই এর বৈধতা সিস্টেমের মধ্যে তাকান
- অ্যাক্টিভেশন ইমেলগুলি
- নিষ্ক্রিয় অ্যাকাউন্টগুলি স্বয়ংক্রিয়ভাবে মেয়াদোত্তীর্ণ হয়
- সল্টের জন্য grc.com পরামর্শ দেয় (PRNG এর জন্য খারাপ নয়)
- সঞ্চিত 'কারণ' স্ট্রিং দিয়ে নিষিদ্ধ করা
- সহজ তবু কার্যকর ত্রুটি পরিচালনা
কনস
- কেবলমাত্র ব্যবহারকারীদের একটি হারিয়ে যাওয়া পাসওয়ার্ড 'পুনরায় সেট' করতে দেয় (পুনরায় সক্রিয়করণের পরে তাদের একটি নতুন বেছে নেওয়ার পরিবর্তে)
- হোমব্রিউ সিউডো-ইভেন্টের মডেল - ভাল উদ্দেশ্য, তবে চিহ্নটি মিস করে
- ব্যবহারকারীর টেবিলে দুটি পাসওয়ার্ড ক্ষেত্র, খারাপ স্টাইল
- দুটি পৃথক ব্যবহারকারী সারণী ব্যবহার করে ('টেম্প' ব্যবহারকারীদের জন্য একটি - দ্ব্যর্থক এবং অপ্রয়োজনীয়)
- সম্ভাব্য অনিরাপদ এমডি 5 হ্যাশিং ব্যবহার করে
- ব্যর্থ লগইন প্রচেষ্টা কেবল আইপি দ্বারা সঞ্চিত, ব্যবহারকারীর নাম দিয়ে নয় - অনিরাপদ!
- অ্যাটলজিন কীটি ডাটাবেসে হ্যাশ হয় নি - ব্যবহারিকভাবে ক্লিয়ারটেক্সটে পাসওয়ার্ড সংরক্ষণের মতোই অনিরাপদ!
- রোল সিস্টেমটি একটি সম্পূর্ণ জগাখিচুড়ি: হার্ড-কোডড রোল নামগুলির সাথে_সেসিন অ্যাডমিন ফাংশন, একটি সম্পূর্ণ গণ্ডগোল, চেক_উরি_পারমিশন একটি জগাখিচুড়ি, পুরো অনুমতি টেবিলটি একটি খারাপ ধারণা (একটি ইউআরআই পৃষ্ঠাগুলিকে অরক্ষিত পরিবর্তন করতে পারে এবং রেন্ডার করতে পারে; অনুমতিগুলি সর্বদা ঠিক সংরক্ষণ করা উচিত সংবেদনশীল যুক্তি যেখানে) চুক্তি ভঙ্গকারী!
- একটি নেটিভ (দরিদ্র) ক্যাপচা অন্তর্ভুক্ত
- reCAPTCHA ফাংশন ইন্টারফেস অগোছালো
ফ্রিকআউথ আলো
পেশাদাররা
- খুব পূর্ণ বৈশিষ্ট্যযুক্ত
- বেশিরভাগ ক্ষেত্রে বেশ ভাল ডকুমেন্ট কোড
- ব্যবহারকারী এবং প্রোফাইল ডেটা পৃথক করা একটি দুর্দান্ত স্পর্শ
- সিআই এর বৈধতা সিস্টেমের মধ্যে তাকান
- অ্যাক্টিভেশন ইমেলগুলি
- ভাষা ফাইল সমর্থন
- সক্রিয়ভাবে বিকাশিত
কনস
- কিছুটা স্ফীত মনে হয় (50+ ফাইল)
- এবং এখনও এটিতে স্বয়ংক্রিয় কুকি লগইনের অভাব রয়েছে (!)
- ব্যবহারকারীর নাম এবং ইমেল উভয়ই লগইন সমর্থন করে না
- UTF-8 টি অক্ষর নিয়ে সমস্যা রয়েছে বলে মনে হচ্ছে
- প্রচুর অটোলয়েডিং (আবদ্ধ কর্মক্ষমতা) প্রয়োজন
- খারাপভাবে মাইক্রো ম্যানেজ করা কনফিগারেশন ফাইল
- ভয়াবহ ভিউ-কন্ট্রোলার পৃথকীকরণ, সাথে প্রচুর প্রোগ্রামের লজিক এবং আউটপুটগুলিতে নিয়ামকদের মধ্যে হার্ড-কোডড থাকে। চুক্তি ভঙ্গকারী!
- অন্তর্ভুক্ত মতামতের মধ্যে দরিদ্র এইচটিএমএল কোড
- নিম্নমানের ক্যাপচা অন্তর্ভুক্ত
- মন্তব্য ডিবাগ সর্বত্র প্রতিধ্বনিত
- একটি নির্দিষ্ট ফোল্ডার কাঠামো জোর করে
- একটি নির্দিষ্ট অ্যাজাক্স লাইব্রেরিকে জোর করে (স্যুইচ করা যায়, তবে সেখানে প্রথম স্থানে থাকা উচিত নয়)
- লগইন চেষ্টায় সর্বাধিক সীমা নেই - খুব অনিরাপদ! চুক্তি ভঙ্গকারী!
- হাইজ্যাকস বৈধতা ফর্ম
- সম্ভাব্য অনিরাপদ এমডি 5 হ্যাশিং ব্যবহার করে
pc_user
পেশাদাররা
- এর ক্ষুদ্র পদচিহ্নের জন্য ভাল বৈশিষ্ট্য সেট
- লাইটওয়েট, কোনও ফোটা নেই (3 টি ফাইল)
- মার্জিত স্বয়ংক্রিয় কুকি লগইন
- Testচ্ছিক পরীক্ষা বাস্তবায়নের সাথে আসে (দুর্দান্ত স্পর্শ)
কনস
- পুরানো সিআই ডাটাবেস সিনট্যাক্স ব্যবহার করে (কম নিরাপদ)
- সিআই এর বৈধতা সিস্টেমের মধ্যে হুক করে না
- কিন্ডা অদম্য স্থিতি (ভূমিকা) সিস্টেম (সূচি উল্টো দিকে - অবৈধ)
- সম্ভাব্যভাবে অনিরাপদ sha1 হ্যাশিং ব্যবহার করে
তাজা চালিত
পেশাদাররা
কনস
- প্রচুর প্রয়োজনীয় বৈশিষ্ট্যগুলির অভাব রয়েছে। চুক্তি ভঙ্গকারী!
- সবই হার্ড-কোডড। চুক্তি ভঙ্গকারী!
রেডাক্স / আয়ন আথ
কোডআইগনিটার উইকির মতে , রেডাক্স বন্ধ করা হয়েছে, তবে আয়ন অ্যাথ কাঁটা শক্তিশালী হচ্ছে: https://github.com/benedmunds/CodeIgniter-Ion-Auth
অতিরিক্ত ভারী বা উন্নত না হয়ে আয়ন অথ একটি ভাল বৈশিষ্ট্যযুক্ত লাইব্রেরি। বেশিরভাগ ক্ষেত্রে এর বৈশিষ্ট্য সেটটি কোনও প্রকল্পের প্রয়োজনীয়তার তুলনায় বেশি হবে।
পেশাদাররা
- লাইটওয়েট এবং কোডইগিনিটারের সাথে সংহত করার জন্য সহজ
- লাইব্রেরি থেকে সরাসরি ইমেল প্রেরণ সমর্থন করে
- অনলাইনে নথিভুক্ত এবং ভাল সক্রিয় দেব / ব্যবহারকারী সম্প্রদায়
- একটি প্রকল্পে বাস্তবায়ন সহজ
কনস
- কিছু অন্যদের তুলনায় আরও জটিল ডিবি স্কিমা
- ডকুমেন্টেশন কিছু ক্ষেত্রে বিশদ অভাব আছে
SimpleLoginSecure
পেশাদাররা
- ক্ষুদ্র পায়ের ছাপ (4 টি ফাইল)
- সংক্ষিপ্ত, একেবারে ফুলা নেই
- হ্যাশিংয়ের জন্য phpass ব্যবহার করে (দুর্দান্ত)
কনস
- শুধুমাত্র লগইন, লগআউট, তৈরি এবং মুছুন
- প্রচুর প্রয়োজনীয় বৈশিষ্ট্যগুলির অভাব রয়েছে। চুক্তি ভঙ্গকারী!
- একটি লাইব্রেরির তুলনায় আরও একটি সূচনা পয়েন্ট
আমাকে ভুল করবেন না: আমি উপরের লাইব্রেরিগুলির কোনওটিকে অসম্মান করার অর্থ নয়; আমি তাদের বিকাশকারীরা কী অর্জন করেছেন এবং তাদের প্রত্যেকে কতদূর এগিয়ে এসেছেন তা নিয়ে আমি খুব মুগ্ধ এবং আমি নিজের তৈরির জন্য তাদের কিছু কোড পুনর্বার ব্যবহারের উপরে নই। আমি যা বলছি তা হ'ল, কখনও কখনও এই প্রকল্পগুলিতে ফোকাসটি প্রয়োজনীয় 'প্রয়োজনীয়-টু-হ্যাভস' (যেমন কঠোর সুরক্ষা অনুশীলন) থেকে 'সুন্দর-সুন্দর থাকার' জন্য নরম হয়ে যায় এবং আমি প্রতিকারের আশা করি ।
অতএব: মূল বিষয়ে ফিরে।
CodeIgniter সম্পন্ন প্রমাণীকরণ অধিকার
প্রমাণীকরণের পাঠাগার থেকে আমার MINIMAL এর প্রয়োজনীয় বৈশিষ্ট্যের তালিকা এখানে। এটি আমার নিজস্ব গ্রন্থাগারের বৈশিষ্ট্য তালিকার একটি উপসেট হতে পারে;)
- Alচ্ছিক পরীক্ষার বাস্তবায়ন সহ ক্ষুদ্র পদচিহ্ন
- সম্পূর্ণ ডকুমেন্টেশন
- কোনও অটলয়েডিংয়ের প্রয়োজন নেই। পারফরম্যান্সের জন্য লাইব্রেরিগুলির সাস্ট-ইন-লোড
- ভাষা ফাইল সমর্থন; কোনও হার্ড-কোডেড স্ট্রিং নেই
- রেক্যাপচা সমর্থিত তবে alচ্ছিক
- প্রস্তাবিত সত্য র্যান্ডম লবণের উত্পাদন (উদাহরণস্বরূপ random.org বা random.irb.hr ব্যবহার করে)
- তৃতীয় পক্ষের লগইনকে সমর্থন করার জন্য ptionচ্ছিক অ্যাড-অনগুলি (ওপেনআইডি, ফেসবুক সংযোগ, গুগল অ্যাকাউন্ট ইত্যাদি)
- ব্যবহারকারীর নাম বা ইমেল ব্যবহার করে লগইন করুন
- ব্যবহারকারী এবং প্রোফাইল ডেটা পৃথকীকরণ
- অ্যাক্টিভেশন এবং হারিয়ে যাওয়া পাসওয়ার্ডের জন্য ইমেল
- স্বয়ংক্রিয় কুকি লগইন বৈশিষ্ট্য
- হ্যাশিংয়ের জন্য কনফিগারযোগ্য phpass (অবশ্যই সঠিকভাবে সল্টেড!)
- পাসওয়ার্ড হ্যাশিং
- অটোলজিন কোডগুলি হ্যাশিং
- হারিয়ে যাওয়া পাসওয়ার্ড কোডগুলি হ্যাশিং
- সিআই এর বৈধতা সিস্টেমের মধ্যে তাকান
- নিরাপত্তার প্রশ্ন নেই!
- Strongচ্ছিক ক্লায়েন্ট-সাইড (জাভাস্ক্রিপ্ট) যাচাইকারী সহ শক্তিশালী পাসওয়ার্ড নীতি সার্ভার-সাইড প্রয়োগ করা হয়েছে
- উভয় অভিধান এবং ডিওএস আক্রমণগুলির বিরুদ্ধে সর্বাধিক সংখ্যক ব্যর্থ লগইন প্রচেষ্টা প্রয়োগ করা হয়েছে সেরা অনুশীলনগুলির প্রতিরোধের !
- প্রস্তুত (আবদ্ধ) বিবৃতি দিয়ে সমস্ত ডাটাবেস অ্যাক্সেস সম্পন্ন!
নোট: ঐ গত কয়েক পয়েন্ট না সুপার উচ্চ সুরক্ষার Overkill যে আপনি আপনার ওয়েব অ্যাপ্লিকেশনের জন্য প্রয়োজন হবে না। যদি কোনও প্রমাণীকরণের গ্রন্থাগারটি এই সুরক্ষা মানগুলিকে 100% পূরণ করে না, এটি ব্যবহার করবেন না!
দায়িত্বজ্ঞানহীন কোডারদের সাম্প্রতিক হাই-প্রোফাইল উদাহরণগুলি যারা তাদের সফ্টওয়্যার থেকে এড়িয়ে গেছেন: # 17 হ'ল রাষ্ট্রপতি প্রচারের সময় সারা প্যালিনের এওএল ইমেল কীভাবে হ্যাক হয়েছিল; # 18 এবং # 19 এর দুষ্টু সমন্বয়টি সম্প্রতি অপরাধী হয়েছিল যখন ব্রিটনি স্পিয়ার্স, বারাক ওবামা, ফক্স নিউজ এবং অন্যদের টুইটার অ্যাকাউন্টগুলি হ্যাক হয়েছিল; এবং শুধুমাত্র # 20 হ'ল কীভাবে চাইনিজ হ্যাকাররা ২০০৮ সালে একটি স্বয়ংক্রিয় হ্যাকে .০,০০০ কোরিয়ানরও বেশি ওয়েব সাইট থেকে 9 মিলিয়ন আইটেমের ব্যক্তিগত তথ্য চুরি করতে সক্ষম হয়েছিল।
এই আক্রমণগুলি মস্তিষ্কের অস্ত্রোপচার নয়। যদি আপনি আপনার পিছনের দরজাগুলি প্রশস্ত খোলা ছেড়ে রাখেন তবে আপনার সামনে সুরক্ষিত হয়ে সুরক্ষার ভ্রান্ত ধারনা থেকে নিজেকে বিভ্রান্ত করা উচিত নয়। তদুপরি আপনি যদি কোডআইগনাইটারের মতো সেরা-অনুশীলন কাঠামো বেছে নিতে কোডিং সম্পর্কে যথেষ্ট গম্ভীর হন তবে কমপক্ষে সর্বাধিক প্রাথমিক সুরক্ষা ব্যবস্থাগুলি সঠিকভাবে করা আপনার নিজের পক্ষে এটি toণী ।
<গলাবাজি>
মূলত, এখানে কিভাবে এটা হল: আমি কেয়ার করি না যদি কোনো প্রমাণীকরণ গ্রন্থাগার অফার বৈশিষ্ট্য একটি গুচ্ছ, উন্নত ভূমিকা ব্যবস্থাপনা, PHP4 সামঞ্জস্য, বেশ ক্যাপচা ফন্ট দেশের টেবিল, সম্পূর্ণ অ্যাডমিন প্যানেল, ঘন্টাধ্বনি এবং whistles - গ্রন্থাগার আসলে তোলে যদি আমার সাইটের সেরা অভ্যাস অনুসরণ না করে কম সুরক্ষিত । এটি একটি প্রমাণীকরণ প্যাকেজ; এটি এক জিনিস ঠিক করা দরকার: প্রমাণীকরণ। এটা করতে ব্যর্থ হলে যে , এটি একটি প্রকৃত ভাল বেশী ক্ষতি করছে।
</ গলাবাজি>
/ জেনস রোল্যান্ড