是否有保护电话号码和密码的PHP安全框架？

在网站安全框架方面,我理解"不要自己动手"的口号.

无论如何,大多数情况下.

我将在一个将文本消息集成到系统中的站点上进行协作.

我想使用现有的,经过良好测试的安全框架来保护用户数据,但我还需要它来保护用户的电话号码.

我不想成为一个负责用户手机号码被劫持和垃圾邮件列表的人.

社区可以提供哪些建议？

请注意,应用于密码的技术不适用于此处.您可以存储盐渍和散列的密码(虽然这样做的价值可能有争议),但这不适用于电话号码.

如果有人插入您的服务器,他们可以做任何服务器可以做的事情.这必须包括恢复电话号码,但不包括恢复密码,如果它已经散列好.因此,电话号码只是保护机密数据的一个特例.

如果手机中确实是应用程序中唯一的敏感数据,那么您可以查看发送文本的应用程序部分,以及非对称加密手机号码.在不同的进程中(或在不同的计算机上)运行具有解密电话号码密钥的应用程序.这个应用程序的界面可能有一个功能,加密否和要发送的消息.保持这个应用程序简单,并测试和审核它的鼻涕.要么将其隐藏在外部世界,要么使用身份验证来证明请求确实来自您的主应用程序,或两者兼而有之.

数据库和应用程序的主要部分都无法解密电话号码(例如,您无法搜索它们),但是他们可以加密它们以添加到数据库中.

一般技术称为"权限分离",上面只是一个例子.

请注意,在加密之前,通常需要使用随机数据填充手机号码(例如,使用哈希密码加盐).否则,可以在不知道私钥的情况下回答"是加密的电话号码X？"的问题.这可能不是垃圾邮件发送者窃取您的分发列表的POV的问题,但是POV声称您的电话号码是安全存储的,这是一个问题,因为这意味着暴力攻击变得可行:只有几十亿电话号码,并且有可能为给定用户大幅缩小.

对不起,这不能直接回答你的问题:我不知道是否有一个PHP框架可以帮助实现权限分离.

[编辑添加:事实上,我发现在"保持特权应用程序简单"的标题下,您可能根本不想使用框架.这有点取决于你是否认为你或多或少会在你真正需要的少量代码中留下错误,而不是框架作者在更大(但更广泛使用)的代码量中留下了错误.写了.但这是一个巨大的过度简化.]