Web上的用户登录成果应该是最根基的成果了，但是在我看过一些站点的用户登录成果后，我以为很有须要写一篇文章教各人怎么来做用户登录成果。下面的文章汇报各人这个成果大概并没有你所想像的那么简朴，这是一个干系到用户安详的成果，但愿各人能从下面的文章中能知道什么样的要领才是一个好的用户登录成果。以下内容，转载时请保持原文一致，并请注明作者和出处。
用户名和口令首先，我们先来说说用户名和口令的事。这并不是本站第一次谈论这个事了。如何打点本身的口令让你知道怎么打点本身的口令，破解你的口令让你知道在现代这样速度的计较速度下，用穷举法破解你的口令大概会是一件很轻松的事。在这里我想汇报从开拓者的角度上来做设计这个用户名和口令的事。下面一几件法则：
限制用户输入一些很是容易被破解的口令。如什么qwert，123456, password之类，就像twitter限制用户的口令一样做一个口令的黑名单。别的，你可以限制用户口令的长度，是否有巨细写，是否有数字，你可以用你的措施做一下校验。虽然，这大概会让用户感想很不爽，所以，此刻许多网站都提供了UX让用户知道他的口令强度是什么样的（好比这个有趣的UX），这样可以让用户有一个选择，目标就是汇报用户——要想安详，先把口令设得好一点。
千万不要明文生存用户的口令。正如如何打点本身的口令所说的一样，许多时候，用户城市用沟通的ID沟通的口令来登录许多网站。所以，假如你的网站明文生存的话，那么，假如你的数据被你的不良员工传播出去那对用户是劫难性的。所以，用户的口令必然要加密生存，最好是用不行逆的加密，如MD5或是SHA1之类的有hash算法的不行逆的加密算法。CSDN曾明文生存过用户的口令。（另，对付海内公司的品行以及有关部分的打点方法，我不敢担保海内网站以加密的方法生存你的口令。我以为，做为一个有知己的人，我们应该加密生存用户的口令）
是否让欣赏器生存口令。我们有N多的要领可以不让欣赏器生存用户名和口令。可是这大概对用户来说很不爽。因为在真实世界里谁也记得不住那么多的口令。许多用户大概会利用一些暗码打点东西来生存暗码，欣赏器只是个中一种。是否让欣赏器生存这个需要你做抉择，重点是看一下你的系统的安详级别是否要求较量高，假如是的话，则不要让欣赏器生存暗码，并在网站明明的位置汇报用户——生存口令最安详的处所只有你的大脑。
口令在网上的传输。因为HTTP是明文协议，所以，用户名和口令在网上也是明文发送的，这个很不安详。你可以看看这篇文章你就大白了。要做到加密传输就必须利用HTTPS协议。可是，在中国照旧有许多网站的Web登录方法还在利用ActiveX控件，这大概成为IE6还大量存在的原因。我凡是领略为这些ActiveX控件是为了反键盘记录措施的。 不外，我依然觉ActiveX控件不该该存在，因为在海外的浩瀚安详很重要的站点上都看不到ActiveX的控件的身影。
用户登录状态首先，我想汇报各人的是，因为HTTP是无状态的协议，也就是说，这个协议是无法记任命户会见状态的，其每次请求都是独立的无关联的，一笔是一笔。而我们的网站都是设计成多个页面的，地址页面跳转进程中我们需要知道用户的状态，尤其是用户登录的状态，这样我们在页面跳转后我们才知道是否可以让用户有权限来操纵一些成果或是查察一些数据。
所以，我们每个页面都需要对用户的身份举办认证。虽然，我们不行能让用户在每个页面上输入用户名和口令，这会让用户以为我们的网站相当的SB。为了实现这一成果，用得最多的技能就是欣赏器的cookie，我们会把用户登录的信息存放在客户端的cookie里，这样，我们每个页面都从这个cookie里得到用户是否登录的信息，从而到达记录状态，验证用户的目标。可是，你真的会用cookie吗？下面是利用cookie的一些原则。
千万不要在cookie中存放用户的暗码。加密的暗码都不可。因为这个暗码可以被人获取并实验离线穷举。所以，你必然不能把用户的暗码生存在cookie中。我看到太多的站点这么干了。
正确设计“记着暗码”。这个成果的确就是一个安详隐患，我以为并不是所有的措施员都知道怎么设计这个事。一般的设计 是——一时用户勾选了这个成果，系统会生成一个cookie，cookie包罗用户名和一个牢靠的散列值，这个牢靠的散列值一直利用。这样，你就可以在所有的设备和客户上都可以登录，并且可以有多个用户同时登录。这个并不是很安详。下面是一些更为安详的要领供你参考：
（——更新 2011/08/26，原文中有些小错误，而且说的不清楚，从头调解了一下——）
1）在cookie中，生存三个对象——用户名，登录序列，登录token。