存储第三方密码以便跨页重用。

Question

我正在用API编写一个特定的web服务接口。每个API调用都需要发送用户的用户名和密码，不需要维护状态。

理想情况下，当使用我的web服务时，用户将输入他的API用户名和密码一次，而我的web服务将存储该信息直到会话结束。我知道，出于安全考虑，我不应该使用PHP会话存储API密码，也不应该存储在数据库中。因此，如何在会话期间安全地存储和访问密码？

编辑：加密密码、在cookie中存储加密密码和会话中的加密密钥有多安全？

Answer 1

使用密室这样的扩展将加密的API用户名和密码存储在当前会话中。动态生成加密密钥并将其存储在cookie中(secure/HTTPS，只限HTTP)。即使在服务器数据泄露的情况下，攻击者仍然需要访问驻留在每个用户计算机上的cookie。

或者，尝试加密整个会话。PHP安全会话类使用类似的技术(存储在cookie中的加密密钥)与session_set_save_handler相结合，透明地加密/解密会话。