一个安全的 Web 用户登录系统应该怎样设计与实现？

不知道楼主对于安全的定义是什么。我认为，登录页面使用 https ，不明文传输密码差不多就可以了

https 加专线加自制加密算法

@giuem
@vibrance 然后就会出现撞库攻击。

微信扫二维码登录

两步验证

防爆破，我的就没实现这个…准备加。

@loading 验证码+表单不可重复提交（类似 Token ）即可

千万别自制加密算法

网页写入一段乱七八糟的 js ，提交的时候带上这个 js 的运行结果，然后与 session 中比较，可以防住不少低级的机器人。

https://virusdefender.net/index.php/archives/438/

oauth ，两步验证，客户端证书

@virusdefender 对于登录系统，万能机器人应该不多吧？
WordPress 博客也经常有机器人评论，随便搞点 trick 就行了。

- https
- 如果 http ，请将用户名密码加密后传输，避免网络嗅探
- 多次输入密码错误出现验证码逻辑
- 账号 密码 的后台处理注意避免 SQL 注入漏洞使得万能密码可以绕过
- 找回密码逻辑

验证码 多次错误输入要有
密码要 JS 非对称加密服务器解密
不上 https 谈安全都是耍流氓

最偷懒的做法，用第三方 oauth 登录，自己网站每次给分配一个 token ，定时过期。

两次 hash 先搞起来。

@ljdawn 哪个位置做 hash 呢？

@MeirLin js 来一发。 服务器短再来一发。。

@ljdawn 这样其实也无济于事， 攻击者可以在用户输入这一步进行诸如撞库类的攻击 自动写到表单进行 fuzz 提交就好 .. 所以要防御还需是多面的，目前看来正确使用验证码就可以防御，再加上表单提交的 token 基本不用担心撞库了。当然再加上服务器风控能做到发现大量发包提交就封 ip 也是有效的 但是 ip 的获取不能用 XFF ，不然一样可以伪造来绕过，其实撞库就是识别机器行为的博弈，只要机器无法做到就是防御了　当然最重要的是把所有登陆接口都做到防御 ..　挖过阿里撞库的经验

@MeirLin 一般网站的的登录都不会做到那么安全吧？ 正确使用验证码？ 如果验证码难度大，也增加了用户的登录难度阿。

sql 注入一定要注意啊，如果有注入，直接会影响到所有的数据，建议你看下这个！ http://www.codefrom.com/t/%E5%85%B3%E4%BA%8Esql%E6%B3%A8%E5%85%A5%EF%BC%8C%E4%BD%A0%E5%BA%94%E8%AF%A5%E7%9F%A5%E9%81%93%E7%9A%84%E4%B8%80%E4%BA%9B%E4%B8%9C%E8%A5%BF