Веб-сайт PHP, возвращающий разные значения SHA512 для рабочего стола и мобильного браузера

Я работаю над веб-сайтом, для которого требуется раздел членства. Итак, когда пользователь регистрирует новую учетную запись участника, я сохраняю имя пользователя, случайную соль и хешированный пароль SHA512, используя случайную соль и пароль пользователя, чтобы не сохранять пароль в виде простого текста в моей базе данных.

Проблема, с которой я сталкиваюсь, когда пользователь входит в систему, заключается в том, что функция javascript SHA512 возвращает другое значение, когда я использую веб-сайт со своего рабочего стола по сравнению с мобильным браузером (устройства Android и IOS). Рабочий стол кажется правильным.

Вот функция PHP, которую я использую для проверки входа пользователя в систему:

// login function, check email and password against the database.
function login($email, $password, $mysqli) {
// Using prepared statements means that SQL injection is not possible. 
if ($stmt = $mysqli->prepare("SELECT id, username, password, salt 
    FROM members
   WHERE email = ?
    LIMIT 1")) {
    $stmt->bind_param('s', $email);  // Bind "$email" to parameter.
    $stmt->execute();    // Execute the prepared query.
    $stmt->store_result();

    // get variables from result.
    $stmt->bind_result($user_id, $username, $db_password, $salt);
    $stmt->fetch();

    // hash the password with the unique salt.
    $password = hash('sha512', $password . $salt);
    if ($stmt->num_rows == 1) {
        // If the user exists we check if the account is locked
        // from too many login attempts 

        if (checkbrute($user_id, $mysqli) == true) {
            // Account is locked 
            // Send an email to user saying their account is locked
            $_SESSION['temp'] = "account locked.";
            return false;
        } else {
            // Check if the password in the database matches
            // the password the user submitted.
            if ($db_password == $password) {
                // Password is correct!
                // Get the user-agent string of the user.
                $user_browser = $_SERVER['HTTP_USER_AGENT'];
                // XSS protection as we might print this value
                $user_id = preg_replace("/[^0-9]+/", "", $user_id);
                $_SESSION['user_id'] = $user_id;

                $_SESSION['temp'] = $user_browser;

                // XSS protection as we might print this value
                $username = preg_replace("/[^a-zA-Z0-9_\-]+/", 
                                                            "", 
                                                            $username);
                $_SESSION['username'] = $username;
                $_SESSION['login_string'] = hash('sha512', 
                          $password . $user_browser);
                // Login successful.
                return true;
            } else {
                // Password is not correct
                // We record this attempt in the database
                $now = time();
                $mysqli->query("INSERT INTO login_attempts(user_id, time)
                                VALUES ('$user_id', '$now')");
                $_SESSION['temp'] = "Invalid password. ";// . $username . " " . $password . " " . $db_password;                
                return false;
            }
        }
    } else {
        $_SESSION['temp'] = "User not Found.";
        // No user exists.
        return false;
    }
}
}

Вот значения SHA, которые я получил от того же имени пользователя/пароля: Рабочий стол (который позволил мне правильно войти в систему):

С моего телефона Android (возвращен неверный пароль): 20036264d5fccd56658e45364112ae0e3356878d84150aa817e049a288aa491b88fab9384df71a3aae7e3d0145acd3dc5608030961181b1bf8382e601

Функцию javascript SHA512, которую я использую, можно найти здесь: http://pajhome.org.uk/crypt/md5


mobile android javascript php sha512
person user3855349    schedule 19.07.2014    source источник
comment
Почему вы хотите хэшировать пароль в javascript, так что, скорее всего, на стороне клиента? В этом нет смысла. Вы отправляете нехешированный пароль и хешируете его на стороне сервера! Ваши алгоритмы хеширования — это внутреннее дело.   -  person arkascha    schedule 19.07.2014

Ответы (1)


arrow_upward
0
arrow_downward

Я считаю, что эта аномалия связана с представлением персонажей. В разных ОС, браузерах и устройствах представление может отличаться. Попробуйте преобразовать пароль в общепринятый формат, такой как UNICODE, перед вычислением дайджестов.

В php вы можете использовать функцию utf8_encode().

в JavaScript

function encode_utf8( s ) {
  return unescape( encodeURIComponent( s ) );
}

function decode_utf8( s ) {
  return decodeURIComponent( escape( s ) );
}
person JIthin    schedule 19.07.2014
comment
Эй, спасибо за предложение, но, к сожалению, оно не изменило возвращаемые хеш-значения. - person user3855349; 20.07.2014