只要网站开了注册功能，风险等级就完全不一样了。你要保管的不再只是自己的数据，而是一堆用户的手机号、地址、消费记录。出一次事，赔钱事小，信任崩了很难修。
## 一、注册环节先把机器人挡在外面
开放注册的站点，前三天就会被脚本批量注册几千个僵尸号。这些号后续会被用来灌评论、刷活动、试探接口。
手机或邮箱验证是基础门槛，同一来源的注册频率要限，注册接口本身也要防重放。用户名要过滤特殊字符，否则昵称里塞一段脚本，管理员在后台看用户列表时就中招了。
## 二、密码存储只有一个正确答案
明文存密码在今天是不可原谅的，用简单摘要算法存也一样——彩虹表几秒就能反查出来。
唯一正确的做法是用专门为密码设计的慢哈希算法，每个用户独立加盐。这样即使数据库整个泄露，攻击者也无法在合理时间内还原出原始密码。另外要强制最低强度，并对常见弱口令做黑名单拦截。
## 三、找回密码是最容易被打穿的地方
很多站点的注册和登录做得挺严，找回密码却是个大洞。常见问题：
重置链接不带有效期，半年前的邮件还能用；重置令牌可预测，换个编号就能重置别人的密码；用完不作废，同一个链接能反复用；还有一种更要命的——直接把新密码明文发到邮箱。
正确做法：令牌随机且足够长、绑定单一账号、三十分钟内有效、用一次即失效、重置成功后强制踢掉该账号所有已登录会话。
## 四、会话管理的几条硬规矩
登录成功后必须重新生成会话标识，防止会话固定攻击；会话凭据要设为仅服务端可读、仅加密传输、限制跨站发送；设置合理的过期时间，敏感操作前要求二次确认身份；改密码、改绑手机后，其他设备的登录状态全部失效。
## 五、越权是最常见也最隐蔽的漏洞
把订单页地址里的编号改成别人的，能不能看到别人的订单？这个测试很多站点都过不了。每一个涉及用户数据的接口，都必须在服务端校验当前登录人是不是这条数据的主人，而不是靠前端不显示入口来保护。
会员体系的安全设计、老站的账号安全加固，我们都能接，先做一次评估再定方案。
—
担心网站被黑、被挂马、被打挂？安全防御、SSL 证书托管、网站加速、插件定制我们都能接。微信 jeans2045、QQ 361611074，先说说你的情况，我们给判断和方案。