爲什麼不使用Cookie進行身份驗證而不是會話？

Question

我想堅持用戶會話之間的用戶身份驗證（默認情況下基本上是「提醒我」）。

當cookies持續存在時會話過期：爲什麼我應該使用會話進行身份驗證，然後使用另一個不同的cookie來「提醒我」？

我不能簡單地存儲一個具有令牌的cookie並將其用於身份驗證和持久性？

Answer 1

簡短的答案是因爲cookie可以被用戶更改，所以它不是很安全。持久性並不總是需要安全，但通常需要認證。