记住我复选框：安全存储验证信息？

Question

我正在编写一个带有jQuery的客户端HTML页面，该页面为具有数据库的服务器上的各种活动调用Web服务。

我有一个登录页面，询问通常的用户名/密码，我想添加一个“记住我”复选框。我想知道存储这些信息（用户名/密码）的最佳方法是什么？饼干是安全的吗？

Answer 1

不要既不保存用户也不保存密码。它是您的网站，如果您做出适当的安排，则不需要它们来验证用户：

1. 创建一个新的数据库表，至少存储记住的登录：

   • 长期唯一随机ID
   • 用户ID

2. 当用户选中记住我框时，生成一个新条目并发回长随机ID。

3. 当您收到匿名用户的请求时，请检查Cookie，如果适用，请将其登录。

您可以结合使用您考虑的其他安全检查（存储日期以删除旧登录，IP检查......），但这是一般的想法。

Answer 2

是的，您必须使用cookie，但仅用于存储用户/会话标识符 所有数据（用户是否永久登录？等）都应存储在数据库中 您绝不应将密码存储在Cookie中。