PHP中没用的验证码

我们常常在提交页面设置验证码防止重复提交，但有些时候设置了验证码不一定有用，看看下面的例子：

实现用户注册的功能，需要提交以下字段：username,password,regCode，注册成功后跳转到登录页面，接受页面进行如下处理：

if($_POST['regCode'] != $_SESSION['regCode']) {msg('验证码不一致');
}
$username = $_POST['username'];
$password = $_POST['password'];
if(! check_username($username)) {msg('用户名不合法');
}
if(! check_password($password))) {msg('密码不合法');
}
if(check_user_exists($username)) {msg('用户名已被占用');
}
if(! $this->user_model->save(array('username' => $username,'password' => $password,
))) {msg('注册失败');
}
header("Location:login.php");

可以看到对用户名、密码都做了校验，且设置了验证码，那是不是就没问题了呢？可以看到服务端只做了验证码校验，但在使用完验证码后并未删掉验证码，这样在下次请求中验证码是否可以重复使用呢？我们知道验证码通常情况下存储在SESSION中，只要SESSION中验证码不被删掉而客户端请求的CookieID相同，服务端会认为是同一个用户，根据同一个CookieID想必服务端还可以拿到验证码再次使用。我们可以这个动作用程序来模拟，并尝试多次执行：

$cookie = 'PHPSESSID=pgfac511q271k5vvije46kf634';
$post_data = array('username' => 'pp'.time(),'password' => time(),'regCode' => 'dksi',
);
$ch = curl_init("http://localhost/regist.php");
curl_setopt($ch, CURLOPT_HEADER, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($post_data));
curl_setopt($ch,CURLOPT_HTTPHEADER, array("Cookie: ".$cookie));
$rs = curl_exec($ch);
if(curl_errno($ch)) {throw new Exception('Curl Error:'.curl_error($ch));
}
curl_close($ch);
var_dump($rs);

我们只需要从浏览器上取到产生的cookie内容和显示的验证码即可，而这些通过ff或者chrome很容易就可以拿到。多次执行之后会发现数据库插入了多条记录，也就是验证码没有起到防刷的目的。同样，也可以在提交页面的时候尝试直接F5刷新，上面的逻辑则会提示用户名已被占用。

该问题产生的根本原因就是验证码使用一次之后还可以再次使用，所以解决也很简单，只需要在注册成功之后清掉验证码的值即可，再次请求时服务端session里已经没有该值了，验证码就校验不通过了。

这样的问题本属于很小的问题，但是在系统中不经意就发生了，不要让验证码变得毫无意义，等刷了几百万用户后才后知后觉

PHP中没用的验证码相关推荐

[转载]windows7中没用boot.ini文件而是改用BCDEDIT来配置了
原文地址:windows7中没用boot.ini文件而是改用BCDEDIT来配置了作者:开心骝哥本人安装的Win7,因为机上有两个系统,一个dos系统,一个win7系统,开机时总是会在系统选择的界面 ...
注册/找回密码等功能中发送手机验证码后倒计时效果的实现（基于vue）
注册/找回密码等功能中发送手机验证码后倒计时效果的实现,基于vue.element-ui <template><el-button size="small" ty ...
.NET中生成动态验证码
NET中生成动态验证码验证码是图片上写上几个字,然后对这几个字做特殊处理,如扭曲.旋转.修改文字位置,然后加入一些线条,或加入一些特殊效果,使这些在人类能正常识别的同时,机器却很难识别出来,以达到防 ...
江苏省电子税务局中文点选验证码识别研究
最近突发奇想,想研究一下中文识别.因为之前研究过简单数字,字母类的识别,这种识别种类很少,数字就10个,字母顶多就26个.但是一到中文,常用字就有3000多个,数量级有了巨大提升.不知道传统的方法还是 ...
Java中使用图片验证码 --菜鸟小回
Java中使用图片验证码一.第一种方式工具类 @WebServlet("/BufferImage") public class BufferImage extends Http ...
使用OpenCV 破解QQ登录中的滑动验证码
系列文章目录第一篇: Java实现QQ登录第二篇: Selenium QQ自动化登录第三篇: 使用OpenCV 破解QQ登录中的滑动验证码文章目录系列文章目录文章目录前言一.登录流程 ...
[pig框架实战] 手撕视频管理发布平台[02] - pig框架源码分析（去除开发过程中每次输入验证码的过程，方便快速登录）
需求将自己搭建好的项目添加到pig项目中去除开发过程中每次输入验证码的过程,方便快速登录去除验证码校验(服务器端) 去除验证码校验(前端) 将自己搭建好的项目myvideos添加到pig项目中 ...
魔方APP项目-07-客户端提交登录信息、在APICloud中集成防水墙验证码，前端获取显示并校验验证码、服务端校验验证码、保存用户登录状态，APICloud提供的数据存储、客户端保存用户登陆数据
用户登录一.客户端提交登录信息 html/login.html,代码: <!DOCTYPE html> <html> <head><title>登录& ...
RPA中关于“滑动”验证码与按照“语序”点击两类验证码
学Python,用RPA 艺赛旗RPA2020.1版本正在免费下载使用中,欢迎下载使用 www.i-search.com.cn/index.html?from=line1 最近发现很多伙伴在项目中都 ...

PHP中没用的验证码

PHP中没用的验证码相关推荐

最新文章

热门文章