在我的網站上添加用戶登錄（會話）的好信息

Question

我以前從未在我的網站上進行任何類型的用戶身份驗證。但是，我現在已經創建（或正在創建）一個依賴於它的網站。我已經讀過，會話中有cookie，普遍的意見是會話更安全 - 所以我正在考慮這樣做。

鑑於我完全失去了如何使這項工作，我正在尋找一個偉大的初學者的指導安全地設置它。通過這個，我的意思是一步一步地讓我在我的網站上運行起來。

Answer 1

會話是更安全的，因爲只有一個令牌存儲在客戶端，而不是數據本身像cookie。因此，Cookie可以很容易地被操縱，並且只應該以相信POST或GET數據的方式受信任。但是，您可以手動對cookie執行相同的操作。

我通常會做的是在cookie中存儲一個對應於數據庫條目的隨機標記。

例如，當用戶登錄時，會生成隨機令牌。該令牌隨着用戶的ID和您希望與cookie一起存儲的其他信息被插入到數據庫中。然後，存儲在cookie本身中的唯一東西就是隨機標記。

當您希望訪問cookie時，只需在數據庫中查找令牌即可。

Answer 2

基本上，您可以將所有敏感數據存儲在PHP session（如用戶實際登錄或具有某些特殊權限的事實），並將會話標識符存儲在cookie中。但是這通常由PHP本身自動處理。

因此，您只需認證用戶，在會話中存儲關於他的信息並顯示成功消息。

下次你的用戶要訪問你的頁面時，你只需要檢查他是否已經有一個會話。要註銷他，你只要摧毀他的會話。

會話非常簡單易用。據說他們更安全，因爲用戶無法訪問他的會話數據，而他可以修改自己的Cookie。