如何检测用户何时登录？

Question

我目前正在做一个小的即时通讯项目。到目前为止，一切都进行得很顺利。

唯一的问题是安全性。当有人登录时，会设置2个cookie。

1) Name: loggedin; Value: {username}  
2) Name: mvc; Value: {userSecretKey}  <-- pretty useless

这些是我使用的cookie，以便我可以设置下一页。然而，我相信有一种更好的方法来做到这一点。不，我不想使用会话，因为我有一个“记住我”的功能。

有些人可以自己设置cookie并“登录”，而不是真正登录。

设置它的更好方法是什么？也许是什么换钥匙的事？

Answer 1

我建议将PHP Sessions与纯用于记住我功能的cookie一起使用。你可以这样设置它：

1. User logs in
2. 您将用户IP和用户代理存储在session
3. 中如果启用了remember me，请使用用户id、用户的唯一随机id + IP和useragent创建一个新的数据库条目，然后添加引用该唯一随机ID的cookie。
4. 每次访问会话时，请检查请求IP和Useragent是否与用户登录时在会话中最初设置的IP和Useragent匹配。
5. 用户关闭浏览器后返回时，将只留下remember me cookie。将请求IP和用户代理与数据库
6. 中的IP和Useragent进行比较。如果它们匹配，请将它们重新登录到数据库中。

干杯!

Answer 2

你仍然可以使用PHP会话，即使有‘记住我’的功能。您只需使用用户in或用户名设置cookie，然后，如果他们没有登录并且cookie存在，则从cookie中读取他们的信息并将其登录。

让您的逻辑检查用户是否已登录，检查已登录用户的活动会话。如果不存在，则重定向用户登录。在您的登录逻辑中，检查是否设置了“记住我”cookie。如果是，请使用cookie让用户登录。如果cookie不存在，请在表单中提供日志。

对于安全位，您可以使用get在用户登录时重置的密钥。这是可劫持的吗，是的，但如果你不断改变密钥/令牌，劫持的窗口应该很小。