PHP:记住我和安全？

Question

在学习 PHP 如何支持 Unicode 的这段时间里，我一直在钻研如何使我的“记住我”cookie 更加安全。然而，有一些事情我不明白，还有一些我自己的想法，我希望得到一些建议和意见。

1) 是否有任何方法可以采用不涉及 cookie 的“记住我”功能？很好奇，因为存储身份验证 cookie 存在明显的安全漏洞。并不是说几乎所有事情都没有安全风险。

2) 由于我不处理银行或“高度敏感”的信息，是否有必要要求用户在更“高调”的区域输入密码？如果我们只是要求他们在两分钟后基本上登录，那么记住登录似乎是一种浪费。

3) 存储身份验证 cookie 的绝对最佳方法是什么(除了“根本不”)？我目前已经对该区域进行编码以在 cookie 中设置单个标记(使用 time()、它们的用户代理、remote_addr 和盐 - sha256 进行哈希处理)。当所述用户返回时，它会检查 token 的“ session ”表，然后将 IP 与 IP 进行匹配以登录。如果 token 存在但 IP 不匹配，它会静默取消设置 cookie 并要求他们以身份登录如果他们没有。

再次感谢大家。

Answer 1

1. 基本上，没有。它需要在客户端进行某种存储；如果没有 cookie(或类似的，如 HTML 5 客户端存储)，您无法知道客户是谁。

2. 这是您必须做出的权衡。至少，旧密码或某种其他形式的确认(电子邮件？)应该要求将其更改为新密码。

3. 除非您对所有通信进行加密，否则您无法绝对防止 cookie 盗窃和随后的假冒。这是唯一安全的方法。 当然，将 IP、用户代理等与 cookie 相关联可能会有所帮助，但依赖加密更容易也更安全。(我误解了这里的要点——值中的重要内容cookie 的特点是它是随机的，因此您应该更改您的生成方法以降低可预测性)