PHP存储cookie数据并与mysql条目比较的安全方式？

Question

我有一个登录系统，我希望人们能够保持登录状态。我这样做的方式如下。当用户登录并单击“记住我”时，会创建一个 cookie。 cookie 有以下数据。

email:::randomString

“:::”只是电子邮件和字符串之间的分隔符。一个示例如下所示：

johndow@gmail.com:::EN8borW29qZMMJU8CNKivD91NFa3h5

字符串是随机生成的，不基于用户输入的任何内容。然后使用 bcrypt 对整个数据进行加密并存储在 cookie 中。 然后将该 cookie 上的数据的相同副本存储在 MySQL 表条目中。当用户在另一个会话期间加载页面时，cookie 被读取和解密。然后扫描该表以查找其中包含该电子邮件和该字符串的相同副本。如果是，那么用户会自动登录。由于以下原因，我不确定这是否是一种安全的方法。有人可以从该 cookie 中复制数据，并在他们的 PC 上使用准确的数据创建一个新的。当他们加载页面时，脚本会读取他们的 cookie 并检查数据库以查找匹配项，然后登录用户。

我怎样才能改进这种方法或完全采用一种新方法？

Answer 1

1. 在您的 db 表中添加过期字段并检查您传入的 cookie，以便您可以使用另一个随机值重新更新您的 cookie，并迫使攻击者尝试新的 cookie 窃取或被阻止，
2. 让您的 cookie 仅使用 http，
3. 将浏览器操作系统信息存储在您的表中，并根据这些检查您的客户端请求，如果不匹配，则要求重新输入密码（您确实为每个用户附加了一个密码字段，对吗？），
4. 前面的第 3 步暗示了一个“会话”表，以便我们可以跟踪哪些人已登录，哪些人未登录（我怀疑您的描述是无密码系统，这不是一个好主意，因此观察会话是必要的），
5. 在登录期间及之后强制执行 https 协议。

或者， 在 github 中搜索 php 登录系统，但希望根据您的需求进行大量定制。

最近，我做了很多工作来定制这样一个系统，但由于与业务战略有关的原因，到目前为止我没有发布，但我向您保证，构建和保护这样一个系统还有很多工作要做！

作为奖励，我只发布了一个功能图，以理解我所谈论的复杂性以及在我们构建软件时使用文字处理软件制作的简单图表的有用性。就是将来能救你一命的东西！