我怎样才能创建一个安全的“记住我”？系统使用PHP？

Question

我有一个登录系统。如何使用 cookie 实现安全的记住我系统。

我应该在 cookie 用户名和密码中存储什么值，但如何保护它？

Answer 1

为数据库中的每个用户定义盐，然后

设置上

$expire_time = time() + 2 * 7 * 24 * 3600; // 2 weeks exp time

setcookie( 
    "rememberMe",
    crypt($username, $salt),
    $expire_time,
    '/'
);

在验证

$_COOKIE['rememberMe'] === crypt($username, $salt)

Answer 2

也许您可以创建一个 16 个字符的字母/数字字符串，该字符串在数据库中与该用户和 MAC 地址相关联，这样（只要人们不太努力并欺骗 Mac）只有该计算机可以登录。

Answer 3

也许您应该（在您的数据库中）存储访问者 IP、用户代理、时区或已安装的插件。使用 Javascript 可能很容易得到一些东西，因为获取 MAC 地址可能是一个问题。

然后您可以轻松检查用户是否具有与上次相同的 IP、UA、时区或插件:) 或者您可以使用 MaxMind 检查他的位置并确认他是否使用正确的时区。如果有任何可疑的情况，您应该丢弃 cookie 凭据。

Answer 4

没什么大不了的...不要让你的会话文件被清理（ini 设置 session.gc_probability = 0），并将会话 cookie 从临时更改为永久（ini 设置 session.cookie_lifetime = then_long_you_want_the_user_to_be_remembered）。

当然，您可能希望最终清理过时的会话文件，因此您可以尝试发生清理的概率非常低，或者进行一些外部清理。无论哪种方式，只要用户保留会话 cookie 并且您保留会话文件，他们就会被“记住”。