Question

php 如何使用cookie安全的保存登录状态sessionid

本来我是这样像的：1、login.php判断登录成功；2、user数据库中写如一个随机的sessionid；3、在用户浏览器写入一个cookie（userid和sessionid）;然后每次需要就验证一下提交上来的use... 本来我是这样像的： 1、login.php判断登录成功； 2、user数据库中写如一个随机的sessionid； 3、在用户浏览器写入一个cookie（userid和sessionid）; 然后每次需要就验证一下提交上来的userid和sessionid，判断是否一致或过期， 但是如果这样，userid和sessionid被别人复制到其他客户端怎么办？刚学不久，希望各位大佬指点。 展开

Answer 1

同样还是将用户的认证信息保证在一个cookie中，具体如下：
1.cookie名：uid。推荐进行加密，比如MD5('站点名称'+userid)。
2.cookie值：登录名|有效时间Expires|hash值。hash值可以由"登录名+有效时间Expires+用户密码（加密后的）的前几位+salt"，salt是保证在服务器端站点配置文件中的随机数。
这样子设计有以下几个优点：
1.即使数据库被盗了，盗用者还是无法登录到系统，因为组成cookie值的salt是保证在服务器站点配置文件中而非数据库。
2.如果账户被盗了，用户修改密码，可以使盗用者的cookie值无效。
3.如果服务器端的数据库被盗了，通过修改salt值可以使所有用户的cookie值无效，迫使用户重新登录系统。
4.有效时间Expires可以设置为当前时间+过去时间（比如2天），这样可以保证每次登录的cookie值都不一样，防止盗用者窥探到自己的cookie值后作为后门，长期登录。