有没有办法让用户的cookie失效？

Question

有没有办法让用户的cookie失效？

场景：

1. 用户访问我的网站（我可以获得任何我想要的数据）；
2. 用户离开页面；
3. 一段时间后，来自另一台服务器的回调会附带用户 ID。此时，我需要使用户会话和cookie无效。

对于会话，这很简单：

session_id($user['session_id']);
session_destroy();

如何使用 cookie 实现相同的目的？

请参阅本文下面的评论，了解更多详细信息以及它与 Facebook 的关系。

简单的解决方案是替换 PHP-SDK 存储用户信息的位从cookies到session，但是去包文件总是一个坏主意。

Answer 1

编辑

您的其他评论表明您并不真正了解 cookie 的字面意思，因此如果您已经理解我要解释的内容，我提前表示歉意。

虽然我怀疑您需要一些特定于 Facebook 的帮助来回答或解决您的实际问题，但我想指出 cookie 的实际含义：

HTTP/1.1 200 OK
Content-type: text/html
Set-Cookie: name=value
Set-Cookie: name2=value2; Expires=Wed, 09 Jun 2021 10:18:14 GMT

http://en.wikipedia.org/wiki/HTTP_cookie#Setting_a_cookie

这是cookie在客户端和服务器之间传输的方式（请求者/响应者）。您可以使用 Firebug 或 Chrome 控制台中的“网络”选项卡来亲自查看如何发出请求以及来回发送哪些数据。它们本质上不是系统地“记录”的，本身不是有限的“事物”，而只是包含在请求和响应数据包中的标头的一部分，类似于电子邮件标头中的 CC/BCC 字段：伪- 短暂但具有描述性。

为了实现在使用之前验证 Cookie 的效果，您需要确定如何将参考 ID 附加到 cookie，或者（或者）使用计算代码检测特定 cookie，该代码在以下情况下必须存在其他数据在请求中提交。 Jan 的回答中描述了另一种方法。

不过，Cookie 通常不会以这种方式处理。它们只是传输，是达到目的的手段，填补 GET 和 POST 之间的空白。

---

您并不是“使 cookie 无效”，而是使 cookie 数据扩展到与请求结合使用的任何人的权限无效。

一，你怎么知道它来自不同的服务器？第二，如果您可以确定请求不合法，则需要删除您服务器上的任何 cookie 数据引用，以授予其代表用户执行操作的权限，即指示的任何会话已结束/销毁，或者其他什么别的。

不过，cookie 只是该数据的传输方式。你必须能够拦截、检测和阻止它为持有者提供的任何访问权限，使其“无用”。

如果您询问具体问题，请提供更多信息。但本质上，似乎您需要做的就是有一种方法来忽略包含您已识别为无效或真实的数据或提供不正确访问（冒名顶替者）的数据的 cookie。

Answer 2

您无法为未直接向服务器发出请求的用户设置（取消设置/无效）cookie。您将需要做更多的工作。

我会这样处理：

将您为用户设置的 cookie 存储在某处（db、redis，等等）。这样我们就能知道用户拥有哪些 cookie。然后，当出现无效请求时，将存储中该用户的 cookie 标记为已删除（或类似的操作）。然后，每次用户请求您的页面时，请检查他在您的存储中是否有任何已删除的 cookie。如果他破坏了他的会话并使他的 cookie 无效（例如将它们设置为过去）。

Answer 3

Cookie 存在于客户端，在服务器端您无法对它执行任何操作。
但是，如果您的“一段时间后”意味着 cookie 应该在一段时间后过期，则您应该在设置 cookie 时设置过期时间。你不需要担心用户是否仍在他的页面上，因为如果他离开并在一段时间后再次访问，浏览器会为你处理。

例如，下面的代码显示了如何设置一个 1 小时后过期的 cookie。

$value = 'something from somewhere';

setcookie("TestCookie", $value);
setcookie("TestCookie", $value, time()+3600);  /* expire in 1 hour */
setcookie("TestCookie", $value, time()+3600, "/~rasmus/", "example.com", 1);