为网站实现"记住我"的最佳方法是什么？

Question

我希望我的网站有一个用户可以点击的复选框,这样他们每次访问我的网站时都不必登录.我知道我需要在他们的计算机上存储一个cookie来实现它,但该cookie中应包含哪些内容？

此外,是否存在常见错误,需要注意保持此cookie不会出现安全漏洞,这可以避免,同时仍然提供"记住我"功能？

Answer 1

改进的持久登录Cookie最佳实践

您可以使用此处描述的此策略作为最佳实践(2006)或此处描述的更新策略(2015):

1. 当用户使用"记住我"选中成功登录时,除了标准会话管理cookie之外,还会发出登录 cookie.
2. 登录cookie包含系列标识符和令牌.系列和令牌是来自适当大空间的不可取的随机数.两者都存储在数据库表中,令牌被哈希(sha256很好).
3. 当未登录的用户访问该站点并显示登录cookie时,将在数据库中查找该系列标识符.
   1. 如果存在系列标识符并且令牌的散列与该系列标识符的散列匹配,则认为用户已经过身份验证.一个新的令牌生成,该令牌一个新的哈希值存储在旧记录,一个新的登录cookie被发送到用户(也没关系,重新使用系列标识).
   2. 如果系列存在但令牌不匹配,则假定盗窃.用户收到强烈警告的警告,并删除所有用户记住的会话.
   3. 如果用户名和系列不存在,则忽略登录cookie .

这种方法提供了纵深防御.如果有人设法泄漏数据库表,则不会让攻击者为冒充用户打开大门.

Answer 2

我会存储用户ID和令牌.当用户回到站点时,将这两个信息与数据库条目之类的持久性进行比较.

至于安全性,只是不要在其中放置任何允许某人修改cookie以获得额外好处的东西.例如,不要存储其用户组或密码.任何可以修改以避免安全的内容都不应存储在cookie中.

Answer 3

存储他们的UserId和RememberMeToken.当他们登录时记住我检查生成一个新的RememberMeToken(使任何其他标记的机器无效,记住我).

当他们返回时通过记住我的令牌查找它们并确保UserId匹配.

Answer 4

我自己调查持久会话发现，根本不值得冒安全风险。如果绝对必要，请使用它，但您应该考虑这样的会话仅经过弱身份验证，并强制对可能对攻击者有价值的任何内容进行新登录。

当然，原因是包含持久会话的 cookie 很容易被盗。

窃取 cookie 的 4 种方法（摘自Jens Roland在页面上@splattne基于他的回答的评论）：

1. 通过不安全的线路拦截它（数据包嗅探/会话劫持）
2. 通过直接访问用户的浏览器（通过恶意软件或物理访问盒子）
3. 通过从服务器数据库读取它（可能是 SQL 注入，但也可以是任何东西）
4. 通过 XSS 攻击（或类似的客户端漏洞）