检查由服务器而不是用户创建的 Cookie

Question

我正在创建一个登录系统，但遇到了问题。 我必须使用 PHP COOKIES。 当用户输入正确的用户名和密码时，就会创建一个 cookie。 “user=22”或“user=23”等。但用户可以 go 到控制台面板并使用 document.cookie 自己创建此 cookie。

isset($_COOKIE["user"]) 返回 true，即使 cookie 是由用户在控制台面板中创建的。 所以，我必须检查服务器创建的 cookies。 有没有办法做到这一点？ 让我知道是否有更好的方法来解决这个问题:)

Answer 1

了解 web 编程的一个非常重要的事情是请求中的所有内容都在用户的控制中。 浏览器或用户选择的任何软件都可以向您的服务器发送他们想要的任何请求。 您所能做的就是阅读该请求，然后决定要做什么。

在这种情况下，浏览器会发送一个 cookie，声称他们是登录用户； 您必须决定是否相信该声明。

您可以使用加密签名：设置 cookie 时，使用永不离开服务器的私钥包含签名； 然后当浏览器显示 cookie 时，验证签名以查看它们是否向您发送回您发送的值。

更简单、更灵活，您可以将 cookie设为不透明的随机值，并将与该值关联的信息存储在服务器上。 这是PHP 的 session 功能背后的想法：生成随机标识符，并在 cookie 中发送到浏览器。 当浏览器发回该随机标识符时，您可以查找相关信息。

会话有很多优点，比如能够存储更多的数据； 并可靠地更新或使该数据无效（您可以要求用户的浏览器删除 cookie，但您不能保证它会这样做，因为用户处于控制之中）。 它们的主要缺点是需要将中央 state 存储在某处，这在“向外扩展”到多个 web 服务器时很棘手。