php - ログイン Cookie のセキュリティ

Question

ユーザーがサインアップしてログインできる最初の完全な Web サイトを作成しています。次の Cookie は安全ですか? ユーザー名やパスワードの代わりに、より具体的な名前のランダム コードが必要ですか?

setcookie("username", "$username", time()+3600);
setcookie("password", "$password", time()+3600);

Answer 1

誰かがユーザーのブラウザから Cookie ファイルを盗み、ユーザー名/パスワードにアクセスする可能性がありますが、それは望ましくありません。したがって、ユーザーにランダムな認証トークン (セッション ID) を与え、サーバー側のユーザーをログイン情報を含むデータセットに関連付けます。PHPには、その機能がすでに組み込まれています。

そのため、代わりに php のセッション エンジンを使用する必要があります。 http://de3.php.net/manual/en/book.session.php

また、ブラウザが Cookie をサポートしていない場合に発生する問題にも対処します。

Answer 2

ユーザーが自分のログイン名とパスワードを覚えておき、自動的にログインし直す場合に使用する必要があります。セッションを使用しない場合。

また、パスワードはエンコードする必要があります。誰かが直接入力したパスワードは絶対に保存しないでください。 次のようにパスワードがエンコードされていれば安全です。

md5('my_password');

このエンコーディングでは、パスワードは無限の値にリンクされているため、パスワードを解読する方法はありません。

2 つのパスワードを比較して同じものがあるかどうかを確認するときは、両方のパスワードがエンコードされているときにこれを行います。

Answer 3

はい、コンピュータ/ブラウザのみに固有であるため、安全です。（クッキー）。

1時間後に自動削除されるので、時間はかかりません.

はい、「username」と「パスワード」は、別の Web サイトからユーザーのコンピューター/ブラウザーに既にあるCookie を妨害する可能性があります。

パスワードが送信されたときに、すでにパスワードをエンコードしていると思います。