php - 在 session 中存储什么

Question

如果用户成功输入密码和用户名，你想设置session，session应该包含哪些数据？我对此很困惑，我读到它应该是一个随机生成的字符串，我可以存储散列的 user_id + salt 吗？我希望能够验证这确实是正确的用户:

形式:

<form method="POST" action="">
<input type="hidden" name="auth_token" value="<?php echo $form_token; ?>">
Username: <input type="text" name="username">
Password: <input type="password" name="password">
<input type="submit" name="action" value="Login">
</form>

我想做如下的事情:

if form token in session = form_token var in form
  if username and password are correct
    set session hash(user_id + salt)

编辑:忘记添加，它很可能在共享主机上。

Answer 1

您可以简单地将用户 ID 存储在 session 数组中。只有 session ID cookie 被发送到浏览器，“外部世界”不知道 session 本身存储了什么。存储一些东西以表明用户已通过身份验证也很方便。

永远不要在任何地方存储明文密码。

$_SESSION["UserAuthenticated"] = true;
$_SESSION["UserID"] = $userID;