关于会话和 cookie

Question

是否可以仅使用用户名或类似名称设置 cookie 和会话？

      $_SESSION['username'] = $row['username'];

      setcookie('username', $row['username'], time() + (60 * 60 * 24 * 30));

Answer 1

是的，这是可能的，但是；

• 我不会将用户名存储在 cookie 中，因为用户可以很容易地修改它。
  • 例如，如果您在审计中或在您的原始逻辑中使用$_COOKIE['username']，人们可以“成为其他人”
• 将值存储在会话 cookie 中，因为值存储在您的服务器上，并且仅由客户端使用“随机”字符串进行引用。
  • 以这种方式假装别人更难 - 但并非不可能。即：会话劫持（但这是另一个主题）

通常，setcookie 用于将数据存储在您希望在以后返回时使用的客户端计算机上——例如，检查他们是否同意您的 cookie 政策。

会话 cookie 用于访问会话，然后在他们离开（即：注销）网络应用程序后销毁。

---

^备注

• ^{客户端可以编辑 cookie 的过期日期}
• ^{会话真的应该有the secure flag}
• ^{会话真的应该有the HttpOnly flag}
• ^{有一个maximum size on cookies}