php - 管理 URL を非表示にして管理システムを保護する

Question

ハッカーによる被害を防ぐために、管理 URL を非表示にすることは実際に良い考えですか? ハッカーがユーザー名とパスワードを知っていたとしても、ハッカーが URL を知らずに管理エリアに入るにはどうすればよいでしょうか?

Answer 1

あなたが意味するのは、あいまいさによるセキュリティであり、それは非常に非常に悪い考えです...

Answer 2

いいえ、それは良い考えだとは思いません。主に、専門家によって実装、更新、使用されている試行錯誤されたセキュリティの方法や慣行と比較して、得られる可能性のあるわずかなセキュリティはひどいものになるため、無意味である可能性が高いためです.

また、特に自作のセキュリティについてアドバイスを求める場合は、コーディングとメンテナンスが頭を悩ませる可能性が高くなります。

「admin-area.php」の URL を隠したとしても、「彼ら」がリダイレクト、フレーム (urgh)、htaccess の書き換え、またはそれらを表示しないように考案したその他の悪い手段によって管理領域にアクセスできる場合いくつかの URL の場合、彼らは大混乱を引き起こす可能性のある管理領域に引き続きアクセスできるため、彼らのために存在し、ハッカーなどのために存在します。(URL は無意味です。安全である必要があるのは、DB クエリなどを含む実際のスクリプトです)。

ブルート フォースとハッキングは、ユーザーごとに bcrypt/blowfish/ランダム ソルトを使用した適切なログイン システム、または同様のパスワード標準 (MD5 やSHA) を使用し、PDO/MYSQLI を正しく使用して、少なくとも X 文字、1 つの大文字と数字を選択するようにユーザーに指示し、ユーザー入力で何かを行う前に、strlen、is_numeric、いくつかの正規表現を使用してすべてを検証して削除します悪い文字 (など) の。