วิธีที่ปลอดภัยที่สุดในการตั้งค่าคุกกี้สำหรับฟีเจอร์จดจำฉัน [ซ้ำกัน]

ฉันยังไม่ได้เขียนโค้ดนี้ด้วยตัวเอง แต่ฉันจะแก้ไขปัญหาดังนี้:

1. สร้างตารางที่สามารถใช้เพื่อบังคับการตรวจสอบความถูกต้องเมื่อผู้ใช้แสดงคุกกี้เพื่อความคงอยู่:

create table RememberMe
(
   user_id    int(10)  NOT NULL,
   user_token char(10)  NOT NULL,
   token_salt int(6)   NOT NULL,
   time       int(10)  NOT NULL,
   PRIMARY KEY (user_id),
   CONSTRAINT nameYourConstraint 
              FOREIGN KEY (user_id) 
              REFERENCES userTableName (whatever_user_id_equals)
)

หากต้องการเติมข้อมูลในตารางนี้ ฉันจะเพิ่มโค้ดบางบรรทัดในการเข้าสู่ระบบ สำหรับตัวอย่างนี้ ฉันจะใช้รหัสเทียม

// userID variable has been sanitized already so
// check if user clicked remember me
// and if the user logged in successfully:
if ( rememberMe == checked && login() == true )
{
     // random number to serve as our key:
     randomNumber = random( 99, 999999  );

     // convert number to hexadecimal form:
     token = toHex( ( randomNumber**randomNumber ) );

     // encrypt our token using SHA1 and the randomNumber as salt
     key = encrypt( token, randomNumber, SHA1 );

     // get the number of seconds since unix epoch:
     // (this will be 10 digits long until approx 2030)
     timeNow = unix_time()

     // check to see if user is in table already:
     sql = "SELECT user_id FROM RememberMe
            WHERE user_id = 'userID'";

     // connect to database:
     db = new DBCon();
     
     result = db->query( sql );
     
         // number of rows will always be 1 if user is in table:
         if ( result->rows != 1 )
             exists = true;
         else 
             exists = false;
     
     result->free_memory();
     
         if ( exists == true )
         {
             sql = "UPDATE RememberMe SET
                    user_id    = 'userID'
                    user_token = 'token'
                    token_salt = 'randomNumber'
                    time       = 'timeNow'";
         }
         else
         {
             sql = "INSERT INTO RememberMe
                    VALUES( 'userID', 'token', 'randomNumber', 'timeNow' )";
         }
     
     result = db->query( sql );
     
         // the affected rows will always be 1 on success
         if ( result->affected_rows != 1 )
         {
            print( "A problem occurred.\nPlease log in again." );
            quit();
         }

     result->free_memory();

     // create a new cookie named cookiemonster and store the key in it:
     // (we're not actually storing a score or birthday, its a false flag)
     set_cookie( "CookieMonster", escape("score="+ userID +"birthday="+ key );
}

สิ่งที่โค้ดนี้ทำคือตรวจสอบว่าผู้ใช้ได้ตรวจสอบการจำฉันแล้วหรือไม่ และมันเติมตารางฐานข้อมูลด้วยคีย์ โทเค็น และเกลือสำหรับผู้ใช้ตลอดจนเวลา (เพื่อให้คุณสามารถบังคับใช้ข้อจำกัดเวลาในการจดจำฉัน คุณสมบัติ).

จากที่นี่ คุณสามารถเพิ่มโค้ดลงในเว็บไซต์ของคุณเพื่อตรวจสอบว่าคุกกี้ CookieMonster ได้รับการตั้งค่าไว้หรือไม่ และ หากเป็นเช่นนั้น คุณสามารถทำตามขั้นตอนเหล่านี้เพื่อบังคับใช้ความถูกต้องได้:

1. แยกรหัสผู้ใช้และรหัสออกจากคุกกี้ที่แสดง

2. ค้นหาฐานข้อมูลด้วย userID เพื่อดูว่า

      --> a) user has requested to be remembered
   
      --> b) check the time to see if they cookie is still valid
   
      --> c) extract the token and salt from database table record
   

3. เรียกใช้โทเค็นและเกลือผ่านการเรียกใช้ฟังก์ชัน encrypt() และจับคู่กับคีย์ที่นำเสนอ

4. หากทุกอย่างเรียบร้อยดี ให้สร้างเซสชันใหม่และเข้าสู่ระบบผู้ใช้

ตอนนี้ทุกครั้งที่ผู้ใช้มาที่ไซต์ของคุณ พวกเขาจะต้องเข้าสู่ระบบ และ ในกรณีที่คอมพิวเตอร์ของพวกเขาถูกบุกรุก ผู้โจมตีจะไม่สามารถเข้าถึงรหัสผ่านของพวกเขาได้

หมายเหตุด้านข้าง: คุณควรกำหนดให้ผู้ใช้ของคุณแสดงรหัสผ่านเสมอเมื่อเปลี่ยนรหัสผ่านหรืออีเมล วิธีนี้หากคุกกี้ของผู้ใช้ตกไปอยู่ในมือของผู้ไม่ประสงค์ดี ผู้โจมตีของคุณจะไม่สามารถขโมยบัญชีได้

หนึ่งในเทคนิคที่ดีที่สุดสำหรับคุกกี้ถาวรที่ฉันเคยพบเห็นคือ ของ Barry Jaspan:

1. เมื่อผู้ใช้เข้าสู่ระบบสำเร็จโดยทำเครื่องหมายที่ จดจำฉัน ระบบจะออกคุกกี้การเข้าสู่ระบบเพิ่มเติมจากคุกกี้การจัดการเซสชันมาตรฐาน
2. คุกกี้การเข้าสู่ระบบประกอบด้วยชื่อผู้ใช้ ตัวระบุซีรีส์ และโทเค็น ซีรีส์และโทเค็นเป็นตัวเลขสุ่มที่คาดเดาไม่ได้จากพื้นที่ขนาดใหญ่ที่เหมาะสม ทั้งสามจะถูกเก็บไว้ด้วยกันในตารางฐานข้อมูล
3. When a non-logged-in user visits the site and presents a login cookie, the username, series, and token are looked up in the database.
   1. If the triplet is present, the user is considered authenticated. The used token is removed from the database. A new token is generated, stored in database with the username and the same series identifier, and a new login cookie containing all three is issued to the user.
   2. หากมีชื่อผู้ใช้และซีรีส์แต่โทเค็นไม่ตรงกัน ถือว่าถูกขโมย ผู้ใช้จะได้รับคำเตือนที่รุนแรง และเซสชันที่จดจำของผู้ใช้ทั้งหมดจะถูกลบ
   3. หากไม่มีชื่อผู้ใช้และซีรีส์ คุกกี้การเข้าสู่ระบบจะถูกละเว้น

ฉันขอแนะนำให้คุณอ่านบทความทั้งหมด เนื้อหาข้างต้นเป็นส่วนสำคัญ

นอกจากนี้ คุณจะต้องการออกคุกกี้เหล่านี้ผ่านการเชื่อมต่อ SSL เท่านั้น และตั้งค่าสถานะ secure และ httponly บนคุกกี้

เนื่องจากหมายความว่าผู้ใช้จะได้รับการตรวจสอบสิทธิ์เฉพาะในขณะที่เชื่อมต่อกับเซิร์ฟเวอร์ผ่าน SSL ฉันจึงตั้งค่า Strict-Transport-Security เพิ่มเติม ส่วนหัว HTTP เพื่อบังคับให้เบราว์เซอร์ใช้ SSL เสมอในอนาคต และคุกกี้ธรรมดาเพิ่มเติม เช่น persistent_login_available=yes สำหรับการเชื่อมต่อที่ไม่ใช่ SSL หากเบราว์เซอร์เยี่ยมชมไซต์ผ่านการเชื่อมต่อที่ไม่ใช่ SSL และเซิร์ฟเวอร์เห็นคุกกี้ persistent_login_available เบราว์เซอร์จะเปลี่ยนเส้นทางผู้เยี่ยมชมไปยังเวอร์ชัน SSL และตรวจสอบสิทธิ์ผู้ใช้ผ่านคุกกี้ที่ปลอดภัย

ด้วยกระบวนการนี้ คุณจะปลอดภัยที่สุดเท่าที่จะเป็นไปได้ คุณเป็นผู้ตัดสินใจ อาจ เกินความจำเป็นเล็กน้อยสำหรับความต้องการของคุณ

กลยุทธ์นี้ถือเป็นแนวทางปฏิบัติที่ดีที่สุด: ดูบทความนี้: http://jaspan.com/improved_persistent_login_cookie_best_practice