如何在cookie中保护“记住我”令牌而不将数据存储在数据库中？

Question

我想保证为我的网站记住我的令牌。我已经阅读了很多文章，但都指出了在数据库中映射这两个标记的一件事。有没有其他方法可以用来保护令牌而不使用数据库？

Answer 1

您可以使用公钥加密来签署服务器上的信息，然后要求浏览器将该信息存储为cookie。您永远不需要为此任何客户共享私钥。在根据cookie恢复会话时，服务器可以验证签名。

您还可以使用相同或不同的密钥加密cookie的内容。然后只有服务器能够解密存储在浏览器中的内容，因此即使敏感数据也可以在那里发送。

最流行的算法是RSA，但您应该查看ED25519，它似乎独立于任何监控公司和组织。