如何实现基于cookie的身份验证

Question

我正在尝试在PingFederate中实现“记住我的功能”。为此，我尝试实现基于cookie的身份验证。在开始这项工作之前，我想知道你们中的任何人已经在研究过这个问题，你们有什么想法？

请告诉我。

谢谢！

Answer 1

首先，为了让它不受影响，我为Ping Identity工作。总是很好地拥有它。

其次，可能会有一些澄清，但如果你想配置“记住我”的功能......难道这不符合认证的概念吗？您不想保护PingFed允许访问的资源吗？允许“记住我”可能适用于像Facebook或WordPress这样的东西，但我肯定不会把它放在任何财务或健康方面（事实上，有针对这种事情的规定）。

最后，要真正回答你的问题......你需要创建自己的身份验证适配器，可能是围绕我们的OpenToken SDK构建的。我处理它的方法是针对任何用户存储库对用户进行身份验证，并创建一个“长期存在”的cookie，一个适用于X天的cookie，并在每次使用时刷新。该cookie cookie可以生成OpenToken，提供对PF及其受保护资源的访问。你应该这样做，以便令牌是一个东西的哈希...就像机器的MAC地址的盐渍哈希或类似的东西将cookie绑定到那台机器。

但是，我想提醒你注意“记住我”。看起来你似乎在降低安全性。