发布于 由admin

WordPress用户认证：深入理解`wp_hash_password`和`wp_check_password`的加密机制，并实现二次认证？

WordPress 用户认证：深入理解加密机制与二次认证实现

大家好，我是今天的讲师。今天我们来深入探讨 WordPress 的用户认证机制，重点关注 wp_hash_password 和 wp_check_password 这两个核心函数，并进一步讨论如何实现二次认证。

WordPress 用户认证基础

WordPress 的用户认证主要依赖于数据库中存储的用户信息以及对密码进行安全哈希处理。用户密码不会以明文形式存储，而是经过加密算法处理后保存。当我们尝试登录时，输入的密码会经过相同的加密算法处理，然后与数据库中存储的加密密码进行比较，以验证身份。

wp_hash_password：密码哈希

wp_hash_password 函数是 WordPress 中用于创建用户密码哈希值的关键函数。它的主要作用是将用户的明文密码转换成难以破解的哈希值，并将其安全地存储在数据库中。

函数原型：

function wp_hash_password( $password ) {
  global $wp_hasher;

  if ( ! is_object( $wp_hasher ) || ! ( $wp_hasher instanceof PasswordHash ) ) {
    require_once ABSPATH . 'wp-includes/class-phpass.php';
    $wp_hasher = new PasswordHash( 8, true );
  }

  return $wp_hasher->HashPassword( trim( $password ) );
}

代码分析：

  1. 检查 $wp_hasher 对象： 函数首先检查全局变量 $wp_hasher 是否存在且是一个 PasswordHash 类的实例。PasswordHash 类是 WordPress 引入的一个用于密码哈希处理的类，位于 wp-includes/class-phpass.php 文件中。
  2. 实例化 PasswordHash 类： 如果 $wp_hasher 对象不存在或者不是 PasswordHash 类的实例，那么函数会包含 class-phpass.php 文件，并创建一个新的 PasswordHash 对象。构造函数 PasswordHash(8, true) 中的第一个参数 8 指定了哈希迭代次数的 log2 值。迭代次数越高，破解难度越大，但同时也会增加服务器的计算负担。第二个参数 true 启用了 portable hashes，这意味着即使服务器的 openssl 扩展不可用，也能使用较慢但兼容性更好的算法。
  3. 调用 HashPassword 方法： 最后，函数调用 $wp_hasher 对象的 HashPassword 方法，将经过 trim 处理后的密码作为参数传入。HashPassword 方法会使用 bcrypt 算法生成密码的哈希值，并返回该哈希值。

PasswordHash 类：

PasswordHash 类是 WordPress 用来进行密码哈希的核心类。它封装了 bcrypt 算法的实现，并提供了一些方便的方法来哈希和验证密码。

  • HashPassword($password): 该方法接收明文密码作为参数，并使用 bcrypt 算法生成哈希值。它还会生成一个随机的 salt 值，并将其嵌入到哈希值中，以增加破解难度。
  • CheckPassword($password, $stored_hash): 该方法接收明文密码和存储的哈希值作为参数，并比较它们是否匹配。它会从存储的哈希值中提取 salt 值，然后使用相同的 bcrypt 算法计算明文密码的哈希值，并将其与存储的哈希值进行比较。

示例：

$password = 'mySecretPassword';
$hashed_password = wp_hash_password( $password );

echo $hashed_password; // 输出类似：$P$B9n8zM8g/l0.3x4J2k1l8w0j0sL7Vf1

wp_check_password：密码验证

wp_check_password 函数用于验证用户输入的密码是否与数据库中存储的哈希密码匹配。

函数原型：

function wp_check_password( $password, $hash, $user_id = '' ) {
  global $wp_hasher;

  if ( ! is_object( $wp_hasher ) || ! ( $wp_hasher instanceof PasswordHash ) ) {
    require_once ABSPATH . 'wp-includes/class-phpass.php';
    $wp_hasher = new PasswordHash( 8, true );
  }

  $check = $wp_hasher->CheckPassword( trim( $password ), $hash );

  /**
   * Fires after a password has been checked for match.
   *
   * @since 2.5.0
   *
   * @param bool   $check   Whether the password matches the hash.
   * @param string $password The password to check.
   * @param string $hash     The stored password hash.
   * @param int    $user_id  User ID.
   */
  $check = apply_filters( 'check_password', $check, $password, $hash, $user_id );

  return $check;
}

代码分析：

  1. 检查 $wp_hasher 对象： 与 wp_hash_password 函数类似，该函数首先检查全局变量 $wp_hasher 是否存在且是一个 PasswordHash 类的实例。如果不存在，则会加载 class-phpass.php 文件并创建一个新的 PasswordHash 对象。
  2. 调用 CheckPassword 方法： 然后，函数调用 $wp_hasher 对象的 CheckPassword 方法，并将用户输入的密码和数据库中存储的哈希密码作为参数传入。
  3. 应用 check_password 过滤器： 函数应用了一个名为 check_password 的过滤器，允许开发者在密码验证结果返回之前对其进行修改。这提供了一个灵活的扩展点，可以用于实现自定义的密码验证逻辑。
  4. 返回验证结果： 最后，函数返回 CheckPassword 方法的返回值，一个布尔值，表示密码是否匹配。

示例：

$password = 'mySecretPassword';
$hashed_password = '$P$B9n8zM8g/l0.3x4J2k1l8w0j0sL7Vf1'; // 假设这是数据库中存储的哈希密码

$is_valid = wp_check_password( $password, $hashed_password );

if ( $is_valid ) {
  echo '密码匹配！';
} else {
  echo '密码不匹配！';
}

重要注意事项：

  • Salt： bcrypt 算法会自动生成并管理 salt 值。开发者无需手动生成或存储 salt 值。
  • 迭代次数： PasswordHash 构造函数的第一个参数指定了哈希迭代次数的 log2 值。增加迭代次数可以提高安全性，但也会增加服务器的计算负担。
  • 过滤器： check_password 过滤器提供了一个强大的扩展点，可以用于实现自定义的密码验证逻辑，例如，添加验证码验证或IP地址限制。

实现二次认证

二次认证 (Two-Factor Authentication, 2FA) 是一种安全措施，它要求用户在提供密码之外，还需要提供另一种身份验证方式，以增加账户的安全性。通常，第二种身份验证方式是用户拥有的设备，例如，手机。

下面介绍一种基于时间的一次性密码 (Time-Based One-Time Password, TOTP) 的二次认证实现方法。

1. 安装必要的库

我们需要安装一个 PHP 库来生成和验证 TOTP。这里我们使用 RobThree/TwoFactorAuth 库。

可以使用 Composer 安装：

composer require robthree/twofactorauth

2. 生成密钥并存储

当用户启用二次认证时，我们需要为他们生成一个唯一的密钥 (secret key)，并将其安全地存储在数据库中。

use RobThreeAuthTwoFactorAuth;

function generate_and_store_secret_key( $user_id ) {
  $tfa = new TwoFactorAuth();
  $secret = $tfa->createSecret();

  // 将 $secret 存储到用户元数据中
  update_user_meta( $user_id, 'tfa_secret', $secret );

  return $secret;
}

3. 显示 QR 码

我们可以使用生成的密钥创建一个 QR 码，用户可以使用手机上的身份验证器应用程序（例如，Google Authenticator, Authy）扫描该 QR 码，以添加他们的账户。

function get_qr_code_url( $user_id, $user_login, $secret ) {
  $tfa = new TwoFactorAuth();
  $qrCodeUrl = $tfa->getQRCodeImageAsDataUri( $user_login, $secret );

  return $qrCodeUrl;
}

// 示例
$user_id = get_current_user_id();
$user = wp_get_current_user();
$user_login = $user->user_login;

$secret = get_user_meta( $user_id, 'tfa_secret', true );

if ( empty( $secret ) ) {
  $secret = generate_and_store_secret_key( $user_id );
}

$qrCodeUrl = get_qr_code_url( $user_id, $user_login, $secret );

echo '<img src="' . esc_url( $qrCodeUrl ) . '" alt="QR Code">';

4. 验证 TOTP

在用户登录时，我们需要验证他们输入的 TOTP 是否正确。

function verify_totp( $user_id, $totp ) {
  $tfa = new TwoFactorAuth();
  $secret = get_user_meta( $user_id, 'tfa_secret', true );

  if ( empty( $secret ) ) {
    return false; // 二次认证未启用
  }

  return $tfa->verifyCode( $secret, $totp );
}

5. 集成到登录流程

我们需要修改 WordPress 的登录流程，以添加二次认证的步骤。可以使用 authenticate 过滤器来实现。

add_filter( 'authenticate', 'my_authenticate_user', 30, 3 );

function my_authenticate_user( $user, $username, $password ) {
  if ( $_SERVER['REQUEST_METHOD'] === 'POST' && isset( $_POST['wp-submit'] ) ) {
    if ( is_a( $user, 'WP_User' ) ) {
      // 检查是否启用了二次认证
      $secret = get_user_meta( $user->ID, 'tfa_secret', true );
      if ( ! empty( $secret ) ) {
        // 验证 TOTP
        if ( isset( $_POST['tfa_code'] ) && ! empty( $_POST['tfa_code'] ) ) {
          $totp = $_POST['tfa_code'];
          $is_valid = verify_totp( $user->ID, $totp );

          if ( ! $is_valid ) {
            // TOTP 验证失败
            return new WP_Error( 'tfa_invalid_code', __( '<strong>错误：</strong> 二次认证码无效。', 'my-plugin' ) );
          }
        } else {
          // 没有提供 TOTP，显示一个表单让用户输入
          add_action( 'login_form', 'my_tfa_login_form' );
          return new WP_Error( 'tfa_required', __( '<strong>错误：</strong> 请输入二次认证码。', 'my-plugin' ) );
        }
      }
    }
  }

  return $user;
}

function my_tfa_login_form() {
  echo '<p>';
  echo '<label for="tfa_code">' . __( '二次认证码:', 'my-plugin' ) . '<br>';
  echo '<input type="text" name="tfa_code" id="tfa_code" class="input" value="" size="20"></label>';
  echo '</p>';
}

6. 启用/禁用二次认证

我们需要提供一个用户界面，让用户可以启用或禁用二次认证。这可以在用户个人资料页面中实现。

add_action( 'show_user_profile', 'my_extra_profile_fields' );
add_action( 'edit_user_profile', 'my_extra_profile_fields' );

function my_extra_profile_fields( $user ) {
  $secret = get_user_meta( $user->ID, 'tfa_secret', true );
  $enabled = ! empty( $secret );
  ?>
  <h3><?php _e( '二次认证', 'my-plugin' ); ?></h3>

  <table class="form-table">
    <tr>
      <th><label for="tfa_enabled"><?php _e( '启用二次认证', 'my-plugin' ); ?></label></th>
      <td>
        <input type="checkbox" name="tfa_enabled" id="tfa_enabled" value="1" <?php checked( $enabled, true ); ?> />
        <span class="description"><?php _e( '启用或禁用二次认证。', 'my-plugin' ); ?></span>

        <?php if ( ! empty( $secret ) ) : ?>
          <p><?php _e( '使用您的身份验证器应用程序扫描以下 QR 码:', 'my-plugin' ); ?></p>
          <?php
            $qrCodeUrl = get_qr_code_url( $user->ID, $user->user_login, $secret );
            echo '<img src="' . esc_url( $qrCodeUrl ) . '" alt="QR Code">';
          ?>
        <?php endif; ?>
      </td>
    </tr>
  </table>
  <?php
}

add_action( 'personal_options_update', 'my_save_extra_profile_fields' );
add_action( 'edit_user_profile_update', 'my_save_extra_profile_fields' );

function my_save_extra_profile_fields( $user_id ) {
  if ( ! current_user_can( 'edit_user', $user_id ) ) {
    return false;
  }

  $enabled = isset( $_POST['tfa_enabled'] ) && $_POST['tfa_enabled'] == 1;

  if ( $enabled ) {
    // 启用二次认证
    $secret = get_user_meta( $user_id, 'tfa_secret', true );
    if ( empty( $secret ) ) {
      $secret = generate_and_store_secret_key( $user_id );
    }
  } else {
    // 禁用二次认证
    delete_user_meta( $user_id, 'tfa_secret' );
  }
}

代码总结：

  1. 安装并引入 RobThree/TwoFactorAuth 库。
  2. 生成密钥并存储到用户元数据。
  3. 生成 QR 码方便用户扫描。
  4. 验证 TOTP 码。
  5. 通过 authenticate 过滤器集成到登录流程，如果开启二次认证，需要验证 TOTP 码。
  6. 在用户资料页面提供启用/禁用二次认证的选项。

安全考虑

  • 密钥安全： 必须安全地存储密钥。用户元数据通常是安全的，但请确保对数据库进行适当的保护。
  • 错误处理： 提供清晰的错误消息，以便用户知道他们需要做什么。
  • 恢复机制： 考虑提供一种恢复机制，例如，使用备用代码，以防用户丢失了他们的身份验证器应用程序。
  • 用户体验： 确保二次认证流程对用户来说尽可能简单易用。

总结

今天，我们深入了解了 WordPress 的用户认证机制，重点介绍了 wp_hash_password 和 wp_check_password 函数的工作原理，并演示了如何使用 TOTP 实现二次认证。希望这些知识能够帮助您提高 WordPress 网站的安全性。

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注