security - "remember me"cookie的哈希或 token ？

Question

当要记住我的cookie时，有两种不同的方法:

哈希
“记住我” cookie存储一个可以标识用户的字符串(即用户ID)和一个可以证明所标识的用户是假装的用户的字符串-通常是基于用户密码的哈希。

token
“记住我” cookie存储与 token 表中的记录相对应的随机(无意义)但唯一的字符串，该字符串存储用户ID。

哪种方法更安全，其缺点是什么？

Answer 1

如果可能，您应该使用随机生成的 token 。当然，缺点是您必须编写一些额外的代码才能在服务器端存储和使用它们，因此可能并不保证所有Web应用程序都可以这样做。但是从安全角度来看，这具有明显的优势:

攻击者无法从用户ID生成 token ，但他肯定可以生成哈希。这是一个很大的问题，即使您在生成哈希时使用盐(并且应该这样做)，如果盐落入不正确的人手中，您的用户也会被拧死。

发出这些 token 可使您的用户(或管理员，如果需要)可以“注销”他们可能想要摆脱的某些 session 。这实际上是一个很酷的功能，例如Google和Facebook使用它。

因此，如果您有时间和预算:绝对是 token 。