对网站实施“记住我”的最佳方法是什么？ [关闭]

我希望我的网站上有一个复选框，用户可以单击它，这样他们每次访问我的网站时都不必登录。我知道我需要在他们的计算机上存储cookie才能实现此目的，但是该cookie中应包含什么？

另外，是否有一些常见的错误需要提防，以防止此Cookie出现安全漏洞，而在仍然提供“记住我”功能的情况下可以避免该错误？

#1楼

存储他们的UserId和RememberMeToken。当他们使用“记住我”身份登录时，将生成一个新的“ RememberMeToken”（使其他所有标记为“记住我”的计算机无效）。

当他们返回时，请通过“记住我”令牌进行查找，并确保UserId匹配。

#2楼

我将存储一个用户ID和一个令牌。当用户返回该站点时，将这两部分信息与诸如数据库条目之类的持久性内容进行比较。

至于安全性，请不要在其中放任何东西，以免有人修改Cookie以获得额外的好处。例如，不要存储其用户组或密码。不能修改任何会破坏您安全性的内容都不应存储在cookie中。

#3楼

改进的持久登录Cookie最佳做法

您可以使用此处描述为最佳实践的策略（2006）或此处描述的更新策略（2015）：

当用户在选中“记住我”的情况下成功登录时，除了标准会话管理cookie外，还会发出一个登录 cookie。
登录cookie包含系列标识符和令牌 。系列和令牌是来自适当大空间的不可猜测的随机数 。两者都存储在数据库表中， 令牌被散列 （sha256可以）。
当非登录用户访问站点并显示登录cookie时，将在数据库中查找系列标识符。
1. 如果存在系列标识符 ，并且令牌的哈希与该系列标识符的哈希匹配，则认为用户已通过身份验证 。生成一个新令牌 ，该令牌的新哈希存储在旧记录上，并向用户发布一个新的登录cookie（可以重新使用系列标识符 ）。
2. 如果存在该系列但令牌不匹配，则认为是盗窃。用户收到措辞强烈的警告，并且删除了用户记住的所有会话。
3. 如果用户名和系列不存在，则登录cookie被忽略。

这种方法提供了深度防御。如果有人设法泄漏数据库表，它就不会给攻击者敞开大门来冒充用户。

#4楼

我自己调查持久性会话，我发现这根本不值得承担安全风险。如果绝对必要，请使用它，但是您应该考虑仅对这种会话进行弱认证，并对可能对攻击者有价值的任何事情强制进行新的登录。

原因当然是包含持久会话的cookie很容易被盗。

窃取Cookie的4种方法（根据Jens Roland在@splattne页面上的@splattne基于他的回答）：

通过不安全的线路拦截（数据包嗅探/会话劫持）
通过直接访问用户的浏览器（通过恶意软件或对该框的物理访问）
通过从服务器数据库读取它（可能是SQL Injection，但可以是任何东西）
通过XSS黑客（或类似的客户端漏洞利用）

对网站实施“记住我”的最佳方法是什么？ [关闭]相关推荐

系统检测到您正在使用网页抓取工具访问_从网站抓取数据的3种最佳方法
halo,大家好,我是特仑苏,今天呢给大家分享一些Python从网站抓取数据的一些方法,希望可以给大家带来一些帮助! 原作者:Octoparse团队原出处:作品文(从网站抓取数据的3种最佳方法)/网 ...
java 流量单位转换_将内容转换为持续流量的五种最佳方法
java 流量单位转换 Websites that have focused on content marketing have done really well for themselves. We ...
web前端开发最佳实践_学习前端Web开发的最佳方法
web前端开发最佳实践为什么要进行网站开发? (Why web development?) Web development is a field that is not going anywhere ...
编写react组件_s！这就是为什么ReasonReact是编写React的最佳方法的原因
编写react组件 Are you using React to build user interfaces? Well, I am too. And now, you'll learn why yo ...
学习一个新领域的知识的最佳方法和最快时间各是什么？
Liu Cao ,「学习方法」是个伪命题玉某人.冷峻.淡之等人赞同有个TED演讲简直是为这个问题量身订做的. The first 20 hours-How to learn Anything. ...
软件工程师转正申请_这是申请软件工程师工作的4种最佳方法-以及如何使用它们。...
软件工程师转正申请 by YK Sugi 由YK Sugi 这是适用于软件工程师工作的最佳方法,以及确切的使用方法. (Here are the best methods for applying t ...
学习Java的最佳方法
Java是某些人可能会说很难学习的语言之一,而其他人则认为它与其他语言具有相同的学习曲线. 两种观察都是正确的. 但是,由于Java具有平台无关性,因此在语言方面具有相当大的优势. Java是一种低级 ...
电子商务网站设计清单：万无一失的方法
受欢迎的品牌充分意识到以下事实:使用有吸引力的网站是发展和运营成功的电子商务业务的最佳实践之一. 除此之外,您还需要注意组织网站的信息,内容和功能,以改善用户体验. 提供良好的客户体验是任何电子商务网 ...
《防患未然：实施情报先导的信息安全方法与实践》——3.3　攻击剖析
本节书摘来自华章计算机<防患未然:实施情报先导的信息安全方法与实践>一书中的第3章,第3.3节,作者:[美] 艾伦利斯卡(Allan Liska) 更多章节内容可以访问云栖社区" ...

对网站实施“记住我”的最佳方法是什么？ [关闭]

#1楼

#2楼

#3楼

改进的持久登录Cookie最佳做法

#4楼

对网站实施“记住我”的最佳方法是什么？ [关闭]相关推荐

最新文章

热门文章