php - 如何改进我的用户登录方案

Question

问题很简单，也很基础。我多年来一直在使用 PHP session ，并且我总是以这种方式管理用户登录/注销:

1. 开始 session (session_start() 调用)。
2. 登录:在 session 中存储一个值(即 $_SESSION["user_id"] = 34)。
3. 检查用户登录:检查 session 值(即 isset($_SESSION["user_id"]))。
4. 注销:销毁 session (session_destroy() 调用和 unset($_SESSION["user_id"]))。

这个方案对我来说适用于非常简单的应用程序，但现在我在一个更大的应用程序中工作，这个方法有点问题。例如，我无法在登录框中实现“记住”复选框，因为我可以设置更大的 session cookie 过期日期，但 session 结束得更快 ($_SESSION["user_id"] 未设置)。

关键是，如何改进这个方案，或者哪个是用 PHP 管理用户 session 的标准方案？

Answer 1

您的方法非常适合正常 session 。这里的问题是“记住我”功能，需要以不同于正常 session 的方式处理。

实现该功能的一种常见方法是存储第二个具有远到期日期的 cookie，并将用户 ID 和安全哈希值放入其中。您需要用户 ID 或其他一些标识来检测哪个用户返回，但您还需要安全散列以确保该 cookie 是您的网络应用程序设置的并且不是手动制作的。如果您没有安全哈希，人们可以发送带有用户 ID 的自建 cookie 并自动登录。

因此安全哈希需要包含只有您的网络应用知道的信息，即用户创建日期。

你可能想这样做:

$cookieValue = (int)$user->id . ':' . md5($user->creationDate . '/' . $user->passwordHash);

由于 creationDate 和 passwordHash 都没有改变，您可以在用户尝试通过 cookie 登录时验证安全哈希的有效性。当用户更改他的密码时，密码散列也会更改并且用户需要一个新的 cookie - 在我看来这很好，因为窃取 cookie 的人也会被注销。

如果您想要额外的安全性，请使用另一个值来创建散列，即与其他用户数据一起存储的特殊 cookie 散列。您可以完全随机地创建它，并且应该在用户登录时更改它:

$randomValue = md5(time() . rand() . $user->passwordHash);
$user->setCookieValue($randomValue);
$cookieValue = (int)$user->id . ':' . $randomValue;

现在登录时:

list($userId, $hash) = explode(':', $cookieValue);
$user = loadUser($userId);
if ($user instanceof User && $user->cookieValue == $hash) {
    //user logged in
    //generate and set new cookie value
} else {
    // handle invalid persistent cookie
}