每个网站、APP都几乎必然有其管理后台，其中管理的内容则是公司的核心技术财产。而登录模块则是这扇大门，其安全的重要性可想而知。我们知道，功能越多，安全性就会越低，所以我们有必要重新审视一下，管理后台的登录界面到底需要些什么功能。
一、功能模块的取舍
1、基本的账号密码登录。这个无可避免是必然需要的了。
2、图片验证码。验证码的目的是为了阻止机器人暴力撞库，作为管理后台很有必要，而且是要每次登录请求都需重新验证。
3、填完用户名或密码时，Ajax实时验证。这个功能常见于一些自动管理后台的注册模块，用于验证用户名是否已被占用。但此功能通常会导致不需经过验证码验证，从而使得暴力撞库有机可乘。
4、记住我选项。这是一个使用cookie记住登录用户的功能，使用户下次再来时可以不需要再登录即可通过验证。但cookie必然需要记录 用户ID或用户名 相关的信息，存在浏览器中，有一定的CSRF攻击风险和信息泄漏风险。
5、找回密码功能。这是一个高危功能，无论是逻辑疏漏还是安全不严谨，都会导致账号的失窃。参考1月份支付宝找回密码的危机。所以建议做法是，公司文档保存相关的账号密码信息，如遇实在无法登录，则找技术人员进入数据库修改密码（加密后）。
6、注册功能。这个不要做在外面，在后台的功能里加一个添加用户会安全很多。
7、第三方登录。如QQ登录、微信登录？不需要，大家都知道QQ很容易被盗号，不宜作为安全性要求高的系统的登录入口。微信则需要拿手机出来扫码，不如直接输入密码来得方便，另外它还需要申请微信公众号以及500块每年的公众号认证费用。
综上，得出一个够用、安全的管理后台的登录界面
二、安全功能
1、验证码安全。以AJAX提交为例，每次尝试登录后，无论是否登录成功，后端都要注销当前验证码SESSION，前端JS刷新验证码。后台要注销SESSION是以免黑客屏蔽JS导致验证码只需一写次，从而导致爆库。
2、网络传输安全。最好使用https加密，以免网络传输过程泄露账号密码，如在咖啡店等他人WIFI环境。如果没有使用HTTPS，则应该在前端JS加密登录名和密码，后端再解密。因为JS是明文的，所以要使用非对称性加密（如RSA），JS使用公钥加密，服务端使用私钥解密。甚至对JS文件本身也可以作一些加密压缩。为什么登录名也要加密呢？还是避免信息泄露，以免别人根据登录名猜出密码。
3、登录成功时重新生成SESSION_ID。主要是为了防止固定会话ID的CSRF攻击。
三、登录日志
知己知彼，战斗才能胜利。上面这些功能和安全，都是一些通用的防守攻击套路。但敌人在暗我在明，敌人什么时候派出过特务，什么时候发出过攻击，发起了什么样的攻击？仅通过上面的功能，我们无从得知。所以，我们还需要一个监控器－－登录日志。
然后这个登录日志，我们需要记录些什么东西呢？登录名、是否成功、IP地址、时间。但是，这还不够，这样我们只能分析到了是谁有攻击我们，但是分析不到他是通过什么方式来攻击。那还要记录什么呢？URL地址（含GET数据）、POST数据。但需要注意的是，我们登录时的密码也在POST数据里，切不可将密码存储在登录日志里，即使是RSA加密过的也不行，应以***星号代替，否则这和明文存储密码没什么差别。
四、前端代码
前端代码的要点是登录时RSA加密账号密码，使用的是jsencrypt.js 库，Ajax提交表单用的是 jquery.form.js 。核心代码如下，需要注意的是，ajaxForm接受的这两个回调函数，参数名是固定的无法修改，修改表单数据用的是formData，提交成功回调的结果名是responseText。
PS：形如<?=$XX?>的两个变量是PHP变量。
//AJAX提交登录表单
$(function(){
varformSubOpt ={
beforeSubmit: encodeForm,
success: formRes
};
$("#loginform").ajaxForm( formSubOpt );
});
//提交成功
function formRes(responseText){ //参数名要为这个
//console.log(responseText);
ajaxAlerts(responseText);//弹出提示，用的是我自己写的一个函数
if(responseText.code<0){
changeVer();
$("input[name=ver]").val("");
}
if(responseText && responseText.code===0){
setTimeout(function(){
location.href= "<?=$toURL?>";
},750);
}
}
//RSA加密账号密码
varRSApubKey = "<?=$RSApubKey?>"; //注意这里的密码不能包含换行符
//console.log(RSApubKey);
function encodeForm(formData){
//console.log(formData); //这是要提交的参数
var crypt =new JSEncrypt();
crypt.setKey( RSApubKey );
var user = crypt.encrypt( $("input[name=name]").val() );
var pwd = crypt.encrypt( $("input[name=psw]").val() );
//console.log( pwd );
formData[0].value = user;
formData[1].value = pwd;
}
五、后端代码
略。按前面的分析思路来写即可
