$ _GET是我唯一的选择时，发送用户名和密码的最安全方法

Question

我在做游戏，我只能请求页面。 例如（login.php？username = myuser＆password = mypass）

游戏也可以从php接收结果。

目前，密码已加密。 实现安全登录方法的最佳方法是什么？

谢谢

Answer 1

使用SSL。 这将通过网络对密码进行加密。

也不要发送原始密码。 散列并发送散列。

这仍然不能为您提供很大的安全性，因为哈希密码仍将保留在浏览器历史记录中，并可用于重放攻击。 您可以使用质询-响应机制来缓解这种情况。 让服务器在登录页面中包含一个随机的大字节序列（一个随机数），然后客户端可以将该密码哈希与该随机数异或并发送结果。 服务器可以应用相同的XOR来获取原始哈希。

SSL将防止窃听，发送散列将使偶然的攻击者感到更难，随机数将阻止重播。 那可能不是要注意的事情的完整列表，但这只是一个开始。