Хранение пароля в открытом виде в сессии

278

04 декабря 2017, 18:06

На сайте двухэтапная система авторизации. После прохождения первого этапа логин и пароль записываются в сессию в открытом виде. 6е чувство мне подсказывает, что это очень плохо. Но не могу понять почему. Также в сессию записывается timestamp. И если он больше 180 секунд - сессия чистится и редиректит на первый этап. Время жизни сессии 0. Плох ли данный способ? Если да то почему и как можно это исправить? Спасибо!

Answer 1

Пароль нельзя хранить в открытом виде даже в вашей БД. Используйте токен для авторизации и поддерживания сессии пользователя.

Answer 2

Вот видео с примером использования токенов на PHP https://www.youtube.com/watch?v=nNU1CYryF_8

Answer 3

Не обязательно хранить именно пароль. Проверяйте полученный с POSTa пароль и сверяйте с записью в БД, если "==" - тогда просто записывайте какую-то строку а-ля $_SESSION['login'] = 1; А по истечению времени - ансетите переменную.