记住我饼干伪造

Question

当用户登录并选中“记住我”框时，我为其生成密钥（在md5上非常随机），并保存在cookie中。 如果未登录用户，则我的代码将检查“记住我的密钥” cookie，如果与用户匹配，则表明他已登录。

我的问题是，如何阻止用户应对他们的“记住我”密钥cookie并将其传递给朋友？ 因为如果这样做，复制cookie的人将甚至在不知道帐户密码的情况下登录，因此他们无需购买就可以访问高级帐户。

我无法将密钥绑定到ip，否则请记住我无法正常工作，因为许多计算机经常更改ip。 我虽然要保存用户代理和其他浏览器信息，但是您认为呢？

Answer 1

您可以通过在每次使用cookie时为其重新生成密钥来检测cookie的共享。 如果有人给别人一个“记住我”的cookie（或者它被盗了）并且他们都使用了它，那么在使用它们的cookie之后，他们都会得到不同的密钥。

仅允许每个帐户使用最近生成的密钥。 如果某人使用与数据库值不匹配的密钥，则使与该用户关联的所有会话无效。

Answer 2

我的问题是，如何阻止用户应对他们的“记住我”密钥cookie并将其传递给朋友？

最好的解决方案是不使用请记住我： https : //www.owasp.org/index.php/Guide_to_Authentication#Remember_Me

如果您仍然想要，则可以检查请求者的浏览器和ip，但可能会遇到可用性问题。 将并发会话数限制为每个付费用户1个可能会阻止您担心的利用。