security - 将用户对象存储在 cookie 中安全吗？

Question

我有一个用户对象，其中包含有关用户的信息(用户名、IP、国家/地区、姓名、电子邮件...但不是密码)。我应该只将用户名存储在 cookie 中，然后在加载页面时从数据库检索所有信息，还是只将整个 User 对象存储在 cookie 中？

Answer 1

您不能信任 cookie 中存储的任何信息，因为用户可以随意操纵它。

我建议使用 PHP session来存储对象。这样，最终用户只有一个存储在 cookie 中的 session ID，而真实数据则在您的服务器上。

不过， session 最终会超时...迫使用户再次登录。

编辑:哎呀，我应该指出 session 真的很容易使用。只需执行以下操作:

session_start(); // This MUST be at the very top of every page that accesses the session

// Store something in the session with the key 'something'
$_SESSION['something'] = "Hi, I'm a session!"; 

// Retrieve 'something' from the session
$myString = $_SESSION['something'];