Co najlepiej przechowywać w pliku cookie, aby zachować stały stan logowania?Co powinno być przechowywane w pliku cookie dla systemu logowania?
Widziałem wiele stron internetowych (i tutoriali dla początkujących!), Które po prostu przechowują coś takiego jak validUser = 1 w pliku cookie. Najwyraźniej mógłbym podszyć się pod tę stronę, a witryna uznałaby mnie za ważnego użytkownika.
Jeśli nazwa użytkownika jest przechowywana w pliku cookie, mógłbym maskować jakikolwiek użytkownik, wysyłając plik cookie ze swoją nazwą użytkownika w moim żądaniu.
Jeśli więc przechowujesz w pliku cookie nazwę użytkownika i, to muszę znać nazwę użytkownika i hasło, aby się zalogować. Skutecznie użytkownik jest zalogowany automatycznie - to tak, jakby hasło zostało zapisane przez jego przeglądarkę. Zamiast wpisywać poświadczenia w samych polach za każdym razem, przeglądarka automatycznie wysyła je po każdym żądaniu strony.
Ale czy to nadal zły pomysł? Przechowywanie hasła w postaci zwykłego tekstu nie jest genialnym pomysłem, ale w ten sposób będzie wysyłane w danych POST podczas logowania. Poza tym może być przechowywane w postaci zakodowanej. Ale nadal nie czuję się z tym dobrze.
Być może pliki cookie nie powinny być używane do przechowywania niczego poza identyfikatorem sesji, a dane użytkownika są przechowywane na serwerze. Być może jest to bezpieczniejsze miejsce, zakładając, że serwer nie jest udostępniany.
Patrząc na niektóre oprogramowanie typu open source, takie jak oprogramowanie forum, używają one bardziej skomplikowanego systemu, ale nie mogłem dokładnie zrozumieć, co robił, przeglądając kod.
Co to jest standardowa "najlepsza praktyka"?
Czy to tak proste, jak zapisanie w sesji użytkownika identyfikatora użytkownika? To jest bezpieczne i nie ma potrzeby przechowywania dalszych informacji o konkretnym loginie w bazie danych? (np. IP) i zmienić całą sesję/dane za każdym razem, gdy się pojawią, jak widziałem, robiąc to duże skrypty? – Rob
Powinieneś ponownie użyć istniejącego środowiska uwierzytelniania, gdy tylko jest to możliwe, ponieważ naprawdę jest skomplikowany. Na przykład spójrz na https://github.com/delight-im/PHP-Auth – caw