使用會話ID訪問會話數據

Question

我被告知，將cookie，密碼，用戶名和用戶ID等內容存儲在cookie中是不安全的，相反，您應該將sessionID存儲在cookie中。這是我迷失的地方。

我的目標是擁有一個基本的「記住我」功能。通常我會將用戶登錄信息存儲在cookie中，但由於這是不安全的，我想知道替代方法是什麼。我知道每次創建會話時，都會創建一個創建唯一ID的cookie，但在關閉瀏覽器時會過期。那麼如何在瀏覽器關閉後訪問此會話信息？

所有幫助表示讚賞。

Answer 1

可能是最好的方法，因爲已經建議和大多數第三方應用程序做的，是創建一個具有以下字段的「user_sessions」數據庫表：

session_id (var_char) 
user_id (int) 
ip_address (var_char) 
last_logged_in (unix timestamp) 

然後使用Cookie來存儲任何的MD5哈希你喜歡的，可能是：

md5($username.$ip); //since md5 has a lot of reverse look ups now you should use a number of fields to validate. You could use a different crypto function to make it more difficult to crack, but md5 is the simplest version available in all php versions. 

編輯：你會再從cookie與數據庫SESSION_ID，看看他們是否已經登錄比較存儲的散列到coupl結合的原因。在md5函數中的字段是創建一個不太「可猜測的」散列格式。這使得不太可能有人能夠編輯cookie並以其他人身份登錄。

這可以爲所有用戶完成（這樣您可以跟蹤誰在線），並在cookie中設置一個「持久」登錄變量。例如。

p_login=true || p_login=false 

這樣你就會知道是否自動登錄或強制登錄。

注意：您可以查看http://www.openwall.com/articles/PHP-Users-Passwords，以獲取散列密碼，session_ids和用戶的不同方式。

Answer 2

這可能是一個相當陡峭的學習曲線。您是否考慮過使用預先存在的CMS或其他解決方案來實現您想要實現的目標，甚至是可能包含此功能的框架？

對於「記住我」功能，您可以發送包含用戶標識的Cookie，並使用某個已知但祕密的標記再次散列該用戶的散列密碼。但是，該解決方案不允許您遠程過期某人的登錄，但不會重置某人的密碼。

因此，另一種方法是爲該用戶的登錄生成一個唯一標記，並具有另一個將該唯一標記與特定用戶和終止日期關聯的數據庫表。