仅使用 cookie 进行身份验证的最佳方式是什么？

Question

我正在考虑一些方法。
1.使用用户PK，cookie值：{id}:{md5(id+salt)}
2. 使用用户电子邮件，cookie值：{email}:{md5(email+salt)}
3.方式1或2加密码，如{id}:{md5(id+pass+salt)}，但是这种方式每次都会选择一个db(选择密码）。

还有其他基于 cookie 的身份验证的好方法吗？

Answer 1

您真正想要的是：

  id:[some_int],
  session_token:[some_hash]

会话令牌仅在服务器上创建，并且只是一个查找密钥...重要的是，与 user_id 配对。它存储在数据库中，并具有到期日期。一旦到期，您需要重新登录。您可以随时设置超时...更改生成密钥的方式等。您还可以对具有不同超时的身份验证令牌进行不同的分类等。

在页面加载时，您可以使用 id 和会话令牌作为查询您的会话表，通常带有日期范围选择（取决于您的登录业务规则）。如果一切都匹配，那就很好。为了进行额外的混淆，您可以使用部分用户代理。

在这种情况下，如何生成令牌并不重要... MD5(mktime()) 与其他任何东西一样好。

您唯一需要担心预构建格式的是 auth_tokens，它可用于弥合应用程序和应用程序之间的 API 差距。你的网络服务（听起来你不需要担心这个）。

---

示例登录检测流程：

<?php
   session_start();
   if (array_key_exists('auth_user', $_SESSION))
   {
       // user already has a session.
   }
   elseif (array_key_exists('session_token', $_COOKIE))
   {
       $sql = 'SELECT * 
               FROM sessions
               LEFT JOIN users USING (user_id)
               WHERE sessions.user_id = %d
                 AND sessions.token = \'%s\'
                 AND [ some date argument ]
               LIMIT 1';
       // execute SQL.  If you get a user back, great.  Set up a session.
       if (!empty($user))
       {
           $_SESSION['auth_user'] = $user;
       }
   }
   else
   {
      // Not logged in.  Do what you want here (like show a login UI).
   }

您的身份验证代码应创建令牌，将其放入数据库中，然后设置 cookie。