我有一个登录服务与我的当前网站相关，我想知道是否有任何特定的方法可以称之为最安全的？
让我更好地解释一下我的系统：
我目前拥有一个PHP MySQL数据库，其中包含一个用户表。用户名和密码都存储为VARCHAR（对于密码来说并不是最好的方式）。
在注册表单方面，我通过仅允许a-Z 0-9输入并限制字符数来控制密码和用户名的选择。在登录表单方面，我使用mysql_real_escape_string停止攻击，并使用POST到iFrame而不是AJAX。
我觉得我正在尽力防止来自表单方面的攻击，但没有从数据库方面进行保护。我知道您可以更改密码存储类型以在输入时加密，但我不明白如何查询此加密字符串。
根据我描述的情况，您会建议增加哪些安全性措施以及为什么？您选择什么方法来预防黑客和攻击？您能否看到我所描述的任何明显的安全漏洞？最重要的是，鉴于我在Web开发游戏中的经验不足，我该怎么做才能纠正这些问题？
（请注意，我不是创建用于存储机密或引人注目数据的系统）
首先，不要在数据库中存储明文密码。因此，在注册新用户时，请将其密码作为哈希值插入。MD5最常用于此。我建议使用盐来增加安全性。因此，用于存储的内容如下：
$password = md5($yoursalt . $_POST['password']);
现在当用户想要登录时，您再次拥有他们的密码。现在像之前一样进行相同的哈希操作，并在数据库中搜索此哈希（使用其用户名）。这样您就不会存储他们的实际密码。
$yoursalt 应该是每个用户独有的，而不是每个站点共用的；这一点在你的回答中没有明确提到。 - Piskvor left the building我在生成密码时总是使用用户特定的盐，因此我的“用户”表有两个字段“encrypted_salt”和“password”
它的核心是我使用sha1(encrypted_salt + 'password')；
在生成encrypted_salt时，我会使用sha1(unqid(true))；它使用自己的额外熵（盐）将时间精确到毫秒级别，生成几乎100％唯一的盐。 几乎不可能出现重复。
所以：
$salt = sha1(unqid(true));
$password = sha1($_POST['password']);
存储在数据库中为：
$pw = sha1($salt.$password); or sha1($password.$salt);
这并不重要。
SHA1的美妙之处在于它总是会生成一个40个字符的字符串。你能够为字符串添加更多的盐，这样做越好，特别是如果你能够为每个密码生成一个唯一的盐。