我想知道最安全的 cookie 登录方式是什么？ 如果您只是将通行证(用盐加密)和用户名存储在 cookie 中 并根据用户表对其进行验证，潜在的攻击者可以窃取 cookie 并登录。 人们通常不会在那里查看“上次在线时间”。

那么“记住我 cookie”是否有更好的方法？ IP 不是一个好的选择，是吗？ (有些机器一直在换IP)。

最佳答案

我想我找到了一个聪明的解决方案!

这个(复杂的？)脚本的优点:

• 当用户成功登录时 选中记住我，登录 cookie 是除了 标准 session 管理 cookies .[2]
• 登录 cookie 包含用户的用户名、系列标识符和 token 。系列和 token 是来自适当大空间的不可猜测的随机数。这三者都存储在一个数据库表中。
• 当未登录的用户访问网站并出示登录 cookie 时，系统会在数据库中查找用户名、系列和 token 。
• 如果存在三元组，则用户 被认为是经过验证的。使用过的 token 已从数据库中删除。一种 生成新 token ，存储在 数据库与用户名和 同一系列标识符，和一个新的 包含所有三个的登录cookie是 发给用户。
• 如果用户名和系列是 存在但 token 不匹配， 假设盗窃。用户收到 措辞强硬的警告和所有 用户记住的 session 是 删除。
• 如果用户名和系列不是 出现时，登录 cookie 将被忽略。

我在数据库中创建了一个表，其中包含以下信息:

    session | token | username | expire

记住我的 cookie 将具有以下设置:

    $value = "$session|$token|$userhash"; //Total length = 106

• Session 将是一个 40 的字符串 (sha1) 字符。
• Token 会是一个32位的字符串(md5) 字符。
cookie 中的
• Userhash 将是一个 32 位字符串(用户名的 md5) 字符。
数据库中的
• Username 将是 普通用户名。
• Expire 现在 + 60 天。

脚本:

if(isset($_SESSION['check']) || $_SESSION['check']){
    //User is logged in
}else if(isset($_COOKIE['remember']) && strlen($_COOKIE['remember'])==106){
    //THERE is a cookie, which is the right length 40session+32token+32user+2'|'
    //Now lets go check it...
    conncectdb(); //Sets connection
    //How do I protect this script form harmful user input?
    $plode = explode('|',$_COOKIE['remember']);
    $session = mysql_real_escape_string($plode[0]);
    $token = mysql_real_escape_string($plode[1]);
    $userhash = mysql_real_escape_string($plode[2]);
    $result = mysql_query(" SELECT user 
                FROM tokens 
                WHERE session = '$session' 
                AND token = '$token'
                AND md5(user) = '$userhash';")
    if(mysql_num_rows($result)==1){
        //COOKIE is completely valid!
        //Make a new cookie with the same session and another token.
        $newusername = mysql_result($result,0,0);
        $newsession = $session;
        $newtoken = md5(uniqid(rand(), true));
        $newuserhash = md5($username);
        $value = "$newsession|$newtoken|$newuserhash";
        $expire = time()+4184000;
        setcookie('remember', $value, $expire, '/', 'www.example.com', isset($_SERVER["HTTPS"]), true);
        mysql_query("   UPDATE tokens 
                SET token='$newtoken', expire='$expire'
                WHERE session = '$session' 
                AND token = '$token'
                AND md5(user)='$userhash';");
        //Set-up the whole session (with user details from database) etc...
    } else if(mysql_num_rows(mysql_query("SELECT user FROM tokens WHERE session = '$session' AND md5(user) = '$userhash';"))==1)){
        //TOKEN is different, session is valid
        //This user is probably under attack
        //Put up a warning, and let the user re-validate (login)
        //Remove the whole session (also the other sessions from this user?)
    } else {
        //Cookie expired in database? Unlikely...
        //Invalid in what way?
    }
} else {
    //No cookie, rest of the script
}

脚本的优点:

• 多次登录。您可以创建新的 您使用的每台计算机的 session 。
• Cookie 和数据库将保持干净。 活跃用户每更新一次 cookie 登录。
• session 开始检查 确保数据库不会 得到无用的请求。
• 如果攻击者窃取了 cookie，它 得到一个新的 token ，但不是一个新的 session 。所以当真实用户访问时 旧的(无效的)网站 token 但具有有效的用户 session 组合用户收到警告 的潜在盗窃。后 通过登录新的重新验证 session 被创建并且 session 攻击者持有的是无效的。这 重新验证确保受害者 真的是受害者，而不是 攻击者。

引用:http://jaspan.com/improved_persistent_login_cookie_best_practice

关于php - 使用登录 cookie 的相对安全的方法是什么？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/4773609/