是否可以在cookie中存储哈希密码？

Question

我希望用户能够在我的网站上选择"记住我"框,这样他们每次来都不需要登录.因此,我需要在cookie中存储唯一ID以识别它们.用sha512和PHP中的长盐散列密码并将其存储在cookie中是否安全？如果cookie被盗,他们的密码会有风险吗？显然它必须以某种方式连接到他们的密码,否则如果cookie值被猜测或被盗,用户将无法阻止其他人登录.

另外,建议使用GUID作为唯一标识符吗？

谢谢,本

Answer 1

请记住,密码的哈希值实际上与密码相同.窃取哈希的人可以访问用户的帐户,就好像他们窃取了密码一样.因此,不建议将用户密码的哈希值存储在cookie中,除非有一些其他信息未与用于进行身份验证的cookie一起存储(即双因素身份验证).

Answer 2

这是一篇关于这个主题的优秀文章.您问题的许多答案都是针对其中列出的技术.

Answer 3

好的算法和大盐的风险很低，但为什么要冒不必要的风险呢？

如果您只需要识别用户，则存储可以唯一识别用户的内容，例如 guid 以及其他一些存储的验证码（不是他们的密码，而是一些随机的长字符串）。我不会单独使用 guid，因为它不是一种安全的身份验证方法。