rails，滚动我自己的认证系统，我应该考虑哪些安全问题？

Question

下面是我的认证系统必须解决的安全问题列表（我知道已经有插件了，我想创建自己的 - 我就是这样！（（尤其是因为我想了解如何使用Rails形成防伪保护

存储GUID作为在cookie中的auth_token，而不是用户ID来做到这一点））。

1. 。拥有此令牌到期每隔x时间，然后重新生成一个新的。
2. 存储failed_login尝试，并锁定帐户
3. 将加密密码存储在数据库中，每个用户都有自己的盐

还有什么可以想到的吗？我现在正在查看authlogic，看看他们可能在做什么。

Answer 1

只是不要。

你正在重新发明这个车轮，并没有什么严肃的理由，你应该浪费你的宝贵时间。

检查出Ruby Toolbox的一些想法。我个人喜欢Devise，所以一定要检查一下。随着设计你有你的基地覆盖。