Может у вас тайваньский ip?
Кроме фейсбука это еще где-то происходит?
В приватном режиме?
В другом профиле?
Не пробовали ли проверить что там передается в accept-language на самом деле?
sorry_i_noob, при некоторых условиях можно. Но вы не первый, кто над этим задумался, и поверьте, в современных решениях учтено очень много всего такого, о чем вы пока даже не догадываетесь.
Вообще с криптографией такая штука, что если ты специально не учил это все несколько лет, то лучше вообще ничего не изобретать, а использовать готовые библиотеки и следовать инструкциям.
Если интересно подробнее, там же указано откуда берутся эти псевдослучайные данные.
Вот, например, про getrandom.
sorry_i_noob, я нигде не писал, что для каждого нужен свой ключ, хотя это повысит безопасность - если один из ключей подберут, это не даст доступа к остальным записям. А иначе подобрав один расшифруют все.
sorry_i_noob, вот нашли дырку, угнали базу, код и конфиги, сидят довольные. А потом глядь - а расшифровать нечем! Пароль (или пароли) на другом сервере!
Liuonid, конечно можно без js, обычными кнопками, ссылками, селектами или картой изображений.
Можно даже консольную версию сделать, чтобы вводить там e2-e4, вот это все.
Но я не думаю, что от вас хотят таких героических свершений, типа написать все на технологии из 1994.
Я бы в таком случае смело использовал js в интерфейсе.
Судя по ванильности, логику они хотят видеть на стороне PHP, хотят посмотреть на структуру приложения, которую вы спроектируете.
Кроме фейсбука это еще где-то происходит?
В приватном режиме?
В другом профиле?
Не пробовали ли проверить что там передается в accept-language на самом деле?