PHP cookies和會員安全

Question

我創建了一個論壇，它在登錄時使用PHP會話來確定用戶ID，以及用於登錄期限的cookie。

我想我有兩個問題：

1. 這是最好的/安全最方法是什麼？
2. Cookie可以通過地址欄手動添加javascript，這是一個巨大的安全風險。有沒有辦法解決？

謝謝！

Answer 1

首先，確保您使用的是https而不是http。這將保持您的流量不被嗅探和利用。其次，生成儘可能隨機的值作爲cookie中的標記。這是有多少大網站進行用戶跟蹤。在跟蹤身份的服務器端爲用戶提供令牌映射。請記住：來自客戶端的任何信息都是不可信的，可能會被篡改。

第三，使用HMAC使篡改更加困難。您不希望用戶能夠暴力破解其他令牌。

編輯：

1. 有關創建和使用代幣（龍的細節不一定非得是REST：

   爲您打造這套系統，你可能會發現這些其他SO問題/答案有幫助服務適用）：REST Web Service authentication token implementation

2. 創造良好的令牌（不要使用microtime中）：Is using microtime() to generate password-reset tokens bad practice