永久會話/第二密碼是個好主意嗎？

Question

所以，想法是爲每個用戶存儲另一個「密碼」或認證值，當通過cookies認證時，您只需比較這些值。這樣，如果cookie被某種方式盜取，與真實密碼無關。

對於重要的操作，如更改密碼等，用戶需要提供他的密碼，並驗證與原始密碼（鹽漬，加密等）。

Answer 1

IMO沒有任何理由讓密碼和session/auto-login-cookie有任何關聯。所以是的，我會讓他們完全分開。我通常在Cookie中使用隨機值並將服務器端數據與它關聯。這也允許我從服務器端使任何cookie失效。

Answer 2

你的問題不太清楚，但不要把密碼放在你的cookies中。

這樣，你只需要一個密碼。

「永久性」Cookie的一個解決方案是對會話有一個時間限制，如果達到該限制，則需要密碼做重要事情（即訪問您的帳戶，查看您的電子郵件，更改密碼等）。 ）

正如CodesInChaos所述，cookie只是一個隨機數。但是，您必須確保該數字是由一個好的隨機生成器生成的（即一些OpenSSL函數表示它具有非常好的熵）。