在过去关于登录系统"记住我"功能中有关安全性的大多数问题中，建议采用"持久登录Cookie最佳实践"。

如果我理解正确，则此方法如下：

全部吗？

就像我之前的问题一样，我被告知，如果有人可以访问cookie，则他们可以轻松进行身份验证。那么这种方法如何解决该问题呢？

非常感谢。

实际上，这是我的建议。示例数据库架构

用户：

• 用户身份
• 用户名
• autologin_hash
• autologin_expire

过程：

您永远不会希望将用户名或密码存储在cookie中，因为如果不使用SSL，它们很容易被盗。使用唯一的哈希并在每次登录时将其清除可解决以下问题：1)防止身份验证详细信息泄漏； 2)使自动登录仅有效一次(不能窃取Cookie并再次使用)； 3)强制使用有效期限服务器端，这有助于防止滥用； 4)很难猜到长的唯一ID，因此，黑客实际上必须窃取Cookie才能获得访问权限。

编辑：如果您想要更高的安全性，请在用户更改密码时记下注释以清除哈希值。如果用户由于担心密码泄露而更改了密码，则不希望有效的自动登录哈希值散落。

4)。您确实需要更新哈希，否则此人将不会自动再次登录。

5)。您应该进行清理，但是如果它无效，则您的代码不应将其视为有效。

关于阻止其他人使用该cookie登录，您可以执行...

• 用户代理也必须完美匹配。
• 登录后，其帐户将标记为已记住登录。当涉及到更改密码，付款时，您再次要求输入密码。