我正在编写登录脚本，希望尽可能地使其安全。问题是，安全似乎是一个永远无法结束的战斗。因此，我正在寻找对我的想法的建议和改进。
我所拥有的只是基于会话的登录。每当会话信息发生变化时，将调用session_regenerate_id（）以避免明显的劫持尝试。
当会话未设置时，我检查有效的登录cookie，在成功后更新会话。
我试图通过添加散列值和一些唯一用户信息（如用户名或ID）来保护cookie的安全性。这个哈希值由各种信息组成，包括用户名/ID，不可解密的密码哈希，IP地址的部分等。通过从cookie中提取用户名/ID，我可以从有效的用户信息生成新哈希并将其与cookie中的哈希进行比较。我的愿望是防止伪造的cookie和cookie劫持（除非他们也欺骗了IP地址）。
编辑假设登录本身将通过HTTPS / SSL完成，因此传输是（相对）安全的。
我走在正确的轨道上吗？还能做什么来保护我的登录？
感谢您的帮助！
session_start()，然后开始使用$_SESSION超级全局变量即可。PHP会为您处理所有这些内容。如果要改进PHP的会话处理程序，请使用配置。启用use_only_cookies、cookie_httponly和cookie_secure。另外，如果您在*nix系统上，则将entropy_file设置为/dev/urandom是一个好主意，但如果您在Windows下，则会遇到麻烦。//In a header file
session_start();
...
if(check_login($_POST['user_name'],$_POST['password'])){
//Primary key of this user
$_SESSION['user_id']=get_user_id($_POST['user_name']);
$_SESSION['logged_id']=True;
}
并验证用户是否已登录：
//in a header file
session_start()
...
if(!$_SESSION['logged_id']){
header("location: login.php");
die();//The script will keep executing unless you die()
}
session_start() 会为您创建一个 cookie。您可以通过配置 php 来更改过期时间。 - rook如果cookie不仅通过SSL传输，那就没有所谓的安全cookie可言。使用永久性的非会话cookie（如“记住我”）可以减轻一些问题，可以执行您正在执行的操作，但不能像您想要的那样。
您确实可以存储服务器变量，例如用户代理、IP地址等（甚至JavaScript变量），但它们只适用于验证持久cookie数据是否与客户端的新连接匹配。IP地址不是一个好主意，除非您知道客户端（例如您）每个页面加载时不会更改（类似AOL）。
现代Web浏览器和LastPass等第三方服务可以存储只需按下键（有时甚至不需要）即可将登录凭据发送到登录表单的登录凭据。永久性cookie仅适用于拒绝使用其他可用选项的人。最终，持久性的非会话cookie并不再真正是必需的。
我使用基于cookie的方法（使用setcookie函数），但是....
session_start();
...
if(check_login($_POST['user_name'],$_POST['password'])){
//Primary key of this user
$_SESSION['user_id']=get_user_id($_POST['user_name']);
$_SESSION['logged_id']=True;
}
这些方法都是错的！！！
我使用基于cookie的攻击方式破解了我的网站。
因此，如果有人向您推送病毒以读取IE或Firefox的cookie历史记录，您会很高兴地发现您的管理员用户名和密码可以被他人使用。
那么如何解决这个问题呢？简单：将cookie与会话服务器或会话的cookie与会话服务器相结合，或将会话与文件会话相结合，或将cookie与文件会话相结合......虽然安全但速度慢 :((((
SESSION比cookie更安全，我的建议是为当前登录尝试创建一个唯一的ID，例如：
$id = uniqid();
$_SESSION['username'.$id] = "something ...";
我将所有的登录数据保存在用户会话中，这样它们都存储在服务器端。
我只会将像“自动登录”、“会话ID”之类的内容存储在客户端cookie中。