“记住我”-cookie中要保留什么？ -PHP [重复]

Question

这个问题已经在这里有了答案：

• 对网站实施“记住我”的最佳方法是什么？ [已关闭] 4个答案

好，

过去，当客户端连接到站点时，我将其保留为$_SESSION 。

现在，我想使用Cookie来“记住我”。

出于安全原因，我应该把cookie的值放在哪？

谢谢。

Answer 1

短期用户身份验证通常使用会话，而长期身份验证则依赖于存储在用户浏览器中的长期cookie。 用户通常会通过标有“在此计算机上记住我”的复选框来体验此功能。 在不构建可轻易利用的后门的情况下实现“记住我”功能需要一个小的工程技术专长。

天真的解决方案：只需将用户凭据存储在Cookie中

看起来像remember_user=1337任何长期身份验证解决方案都容易受到滥用。 由于管理员帐户通常具有较低的用户ID， remember_user=1几乎可以肯定将您登录到特权用户帐户。

永久身份验证令牌

另一种不那么容易受到攻击的策略是，当用户选中“记住我”框时，仅生成一个唯一令牌，将该唯一令牌存储在cookie中，并具有一个将令牌与每个用户帐户关联的数据库表。 这里有很多事情可能仍然会出错，但这无疑是对先前策略的改进。

资源

为了更深入地了解，我强烈建议您在具有长期持久性的PHP应用程序中实施安全用户身份验证