登錄腳本，session_id's，cookies

Question

我一直在研究PHP登錄腳本（從中我發現的主要事情到目前爲止還有更多糟糕的東西比那裏好......），唯一的讓我感到困惑的事情是在登錄腳本中一起使用會話和cookie。

我想我理解會話的使用，就用戶何時通過登錄檢查而言，在會話中存儲一些唯一變量並通過頁面進行跟蹤，以便頁面知道它是哪個用戶，但是我已經如此遠遠地總是使用用戶的用戶名或電子郵件地址。我已經讀過使用在session_start（）創建的session_id，並將該值存儲在cookie以及user_id中，但想知道這是什麼獎金..（是否比用戶名更難猜測？）。 session_id cookie是否用於在用戶存在的情況下自動重新登錄（例如「記住我」功能）或者對此進行進一步檢查？ cookie值與哪裏匹配？

道歉，如果這是一個很小的問題，只是不想要開始正走在一個敏感的問題，在錯誤的道路。

Answer 1

有關PHP安全權威答案我會強烈由克里斯·夏夫利特建議基本PHP安全。對於不使用框架的PHP開發人員來說，這是非常寶貴的。