PHP网站中保持登录状态的功能是怎么做的?大多数网站在用户登录时会提供一个“记住我”或者“保持登录状态”的选项,只知道是用Cookie实现的,但是具体来说的工作流程是什么?下面一起来研究下。
php保持登录状态的方法
PHP网站中保持登录状态的功能是怎么做的?大多数网站在用户登录时会提供一个“记住我”或者“保持登录状态”的选项,只知道是用Cookie实现的,但是具体来说的工作流程是什么?因为要实现一个网站登录的东西,所以想从细节方面了解这个问题。
//验证用户名和密码成功后
$_SESSION['userinfo'] = [
'uid' => 123, 'username' => 'testuser' ];
而后在需要验证登录的地方加入类似如下判断
if(empty($_SESSION['userinfo']) ||empty($_SESSION['userinfo']['uid'])){
//未登录,引导登录 }
以上是使用SESSION做用户登录的基本存储和验证逻辑,当然实际开发过程中会将这部分的代码封装
我们都知道,SESSION一般是通过在COOKIE里记录一个KEY为PHPSESSID的COOKIE来保持上下文的,而这个PHPSESSID的COOKIE的有效期是设置为“会话”,意味着关闭浏览器后该COOKIE被销毁,相应的后端SESSION也就销毁,如图
另外,由于PHP的Session本身就有GC的机制,一般默认1440秒内页面没有刷新动作(准确的说是没有新的请求来刷新该PHPSESSID的生命周期),该SESSION也就被自动回收,伴随着用户的登录就失效了。
而题主关注的是如何实现这个“记住我”的功能,首先,虽然COOKIE保存在客户端,不安全,易被伪造,这是客观存在的事实,但要实现这个“记住我”,还确实就得用到COOKIE,我们能做的是尽量去提高伪造的门槛。
这边仅提供一个参考的设计方案,
1、将用户信息,比如一个['uid'=>123, 'username'=>'testuser']的数组,序列化后成为字符串,使用可逆加密算法加密该字符串,写到一个Key为userinfo的COOKIE里
2、由于可逆加密算法容易被解密,一旦加密的规则被别人猜测到以后,就可以轻易篡改这个COOKIE的内容,然后自行根据加密规则加密后伪造,所以,我们另外加入一个infodig的COOKIE,是将以上的userinfo的COOKIE内容,加入salt后使用不可逆加密算法生成散列,至于salt咱们可以自己定,总之要对外保密,不可逆算法例如md5,甚至多次加盐多次md5
3、以上两个COOKIE,为增强安全性,防止用户被XSS攻击后拿到,可以设置http-only属性
服务端判断存在以上两个COOKIE后
1、验证infodig与userinfo是否匹配(将userinfo的内容使用生成infodig的方法计算后,与COOKIE传上来的infodig匹配是否一致)
2、infodig验证通过后,使用解密算法解密userinfo串,得到用户信息,如果用户信息里的uid存在用户表中,则写SESSION,通过SESSION保持本次会话
总而言之,使用COOKIE记录用户信息是可行的(当然不建议把用户敏感的东西存在COOKIE,例如邮箱、手机、甚至密码,只记录对登录有用的部分,例如uid、username等标识,以及nickname可能会在某些地方提升用户体验),可以确定的是,这个COOKIE对用户可见,我们要做的就是两点:1、尽量让用户看不懂,而只有我们服务端自己认识(可逆加密算法); 2、即使用户看懂了,他也不能够轻易的伪造(不可逆的散列算法)。