仅使用 cookie 的最佳身份验证方式是什么？

Question

我正在考虑一些方法。
1.使用用户PK，cookie值：{id}:{md5(id+salt)}
2.使用用户邮箱，cookie值：{email}:{md5(email+salt)}
3.方式1或2加密码，如{id}:{md5(id+pass+salt)}，但是这样每次(select the password)都会做一个db select。

还有其他基于 cookie 的身份验证的好方法吗？

Answer 1

你真正想要的是：

  id:[some_int],
  session_token:[some_hash]

会话令牌仅在服务器上创建，只是一个查找键...重要的是，与 user_id 配对。它存储在数据库中，并带有到期日期。一旦到期，您需要重新登录。您可以随时设置超时...更改生成密钥的方式等。您还可以使用具有不同超时等的不同类别的身份验证令牌。

在页面加载时，您使用 id 和会话令牌作为对会话表的查询，通常使用日期范围选择（取决于您的登录业务规则）。如果一切都匹配，你很好。对于额外的混淆，您可以使用部分用户代理。

在这种情况下，如何生成令牌并不重要...... MD5(mktime()) 和其他任何东西一样好。

您唯一需要担心预构建格式的是 auth_tokens，它可用于弥合应用程序和您的 Web 服务之间的 API 差距（听起来您不需要担心这个）。

---

示例登录检测流程：

<?php
   session_start();
   if (array_key_exists('auth_user', $_SESSION))
   {
       // user already has a session.
   }
   elseif (array_key_exists('session_token', $_COOKIE))
   {
       $sql = 'SELECT * 
               FROM sessions
               LEFT JOIN users USING (user_id)
               WHERE sessions.user_id = %d
                 AND sessions.token = \'%s\'
                 AND [ some date argument ]
               LIMIT 1';
       // execute SQL.  If you get a user back, great.  Set up a session.
       if (!empty($user))
       {
           $_SESSION['auth_user'] = $user;
       }
   }
   else
   {
      // Not logged in.  Do what you want here (like show a login UI).
   }

您的身份验证代码应创建令牌，将其放入数据库，然后设置 cookie。