为禁用 cookie 的用户保存数据 [关闭]

Question

我有一个具有登录功能的网站，我正在将用户的用户名存储到一个 cookie 中。

我有几个问题：

1. 如果我想保存此人的用户名，应该仅作为会话还是 cookie 来完成？
2. 我应该为那些禁用 cookie 的人做些什么？我应该不存储任何东西，让他们每次都登录吗？

谢谢。

Answer 1

1. 用户的详细信息应保存在会话中。会话变量存储在服务器上，只有会话 ID 暴露给用户。使用 cookie 长期保存登录状态。确保安全地进行。
2. 禁用 cookie 的用户只能通过 GET 变量使用会话。会话 ID 通过 URL 传回服务器。

请参阅 How do Cookies and Sessions work? 了解更多信息。

Answer 2

如果我想保存此人的用户名，应该仅作为会话还是 cookie 来完成？

实现会话的标准方法是使用 cookie。唯一的问题是您是否要存储一个持久性 cookie，以便他们在关闭浏览器然后稍后再回来时不必再次登录。

我应该为那些禁用 cookie 的人做些什么？我应该不存储任何东西，让他们每次都登录吗？

虽然您可以通过通过每个链接的查询字符串和每个表单中的隐藏输入传递令牌来实现会话系统，但这种方法很容易泄露会话（因为人们会复制/粘贴 URL 并将它们提供给其他人）人）并且需要更多的努力（尤其是当您开始使用 JavaScript 将浏览器定向到 URL 时）。

Cookie 是在 WWW 上保持状态的标准方式，对于依赖于状态（例如跟踪谁已登录）的网站部分而言，仅在用户启用 Cookie 时才起作用是完全合理的。

禁用cookies的用户是极少数，如果他们想登录网站，可以重新启用它们。

Answer 3

Surly session 更好，如果您将其保存为 cookie，任何人都可以通过它进行注入。编辑他/她的浏览器 cookie 以以其他用户身份登录。但也许最好阅读 session hijacking .

您可以使用Web Storage，而不是使用现代浏览器的cookie。

Answer 4

如果您只保存用户名以便“记住”用户而不是密码，那么使用 cookie 应该没问题。但是，当为每次使用（即会话）保留用户登录信息时，您应该始终使用会话。换句话说，仅将 cookie 用于从一次使用到下一次使用所需的非安全信息，并将会话用于每次使用所需的安全信息。