php - 我的 php "Remember me"系统安全/实用吗？

Question

我目前正在为一个网络项目实现“记住我”系统。在阅读了一些(尽管不是很有帮助的文章)之后，我想出了这个系统来防止 cookie 被用来访问分配给用户的帐户以外的帐户:

1. 用户登录并选中“记住我”框。
2. 用户的电子邮件和密码组合已通过身份验证。因为检查了记住我功能，所以创建了一个 128 个字符长的随机 salt 并将其与用户 userid 一起存储在表中。设置一个 cookie，其中包含用户 userid 的哈希值，这些哈希值连接到用户 userid 和 salt 的哈希值。
3. 当用户重新访问该网页时，用户 ID 和散列将被分开，并且该散列将根据存储在数据库中的盐和用户 ID 生成的散列进行检查。如果值匹配，则该用户就是 cookie 分配给的用户，并且该用户已登录。

如果有任何问题/改进可以提出来，我总是乐于接受批评:)

Answer 1

你的系统有一个良好的开端，但仍然很容易被劫持(如果有人拿走了存储在 cookie 中的哈希值，他可以很容易地接管 session )。

无论如何，这里有一些关于同一主题的好帖子:

• PHP: Remember Me and security?
• Secure Cookies?
• Security when using Cookies to Remember Me
• What is a relatively secure way of using a login cookie?

我认为您应该先阅读这些链接。

确实没有一个完整的万无一失的系统(检查第 3 个和第 4 个链接，它们提供了一些有趣的额外内容；用户代理是您也可以使用的某种标识符)。我可以建议您使用某种 OpenID 提供商(或多个)来摆脱您手中的所有安全问题。如果确实想自己做:您必须权衡利弊以实现最大安全性或稍差一点。