php - 用户创建时的随机 ID 号

Question

我想使用用户的唯一 ID 来保存 cookie - 这样我就知道哪个用户登录了，然后我可以更改他们的内容以适应。

我目前只是在创建新记录时使用通常的自动 ID，但我听说创建用户帐户时(特别是当您要使用该 ID 更改内容时)您不应该使用它们1个接一个；例如不是 378、379,380 等等，而是更像这样的 138462193、109346286、982638192，所以它有点像一个随机的唯一标识符。

我将如何实现这一目标？

这是最佳实践吗？

Answer 1

您保护您的数据免受 using ACL 的攻击, 限制哪个用户可以访问什么(以及什么数据)。在用户和数据之间建立所有权的外键关系，session ID regeneration登录时，CRSF tokens以防止来自其他站点的攻击，等等。
更不用说日志记录了，当确实出现问题时能够找出问题所在。

只有在非常的特殊情况下，您才需要担心用户的 ID 是连续的。大多数情况下，其他用户可以通过网站本身使用此 ID。作为正常操作的一部分。
因此，向用户 ID 添加随机元素只会带来一种虚假的安全感。即使您保持内部 ID 不同于“外部”面向用户的 ID，只要您使用外部 ID 来识别和更改内容，它基本上与内部 ID 相同。在大多数情况下，使用双重 ID 系统的唯一正当理由是为了便于阅读。如果您不确定您的用例是否属于异常(exception)情况之一，那么事实并非如此。

PS:我在您的评论中看到您说密码是加密的。希望你的意思是“加盐和散列”，更具体地说是使用 password_hash () 并且它是 associated functions .