基於Cookie的登錄系統

我正在考慮使用cookie-ip匹配系統來自動登錄用戶，而不必在登錄數據輸入到已知系統且其IP地址未更改的情況下輸入登錄數據。基於Cookie的登錄系統

這個政策不錯，還是我打開一個重大的安全漏洞？

2012-04-06 ppp

就某些人使用公共機器而言，這可能是一個潛在的安全問題。所以讓它可選。你也需要考慮一些機器使用動態IP地址。你提出的方法在這種情況下不起作用。

但所有以上方法仍店cookie中的密碼。

2012-04-06 08:41:27

我不介意這種方法不適用於某些場景，我只是想提供它作爲額外的，而不是作爲基本的登錄系統，如果失敗，他們只需進入登錄界面並輸入他們的數據，我也不介意給予同一機器訪問權限的其他用戶訪問權限，我認爲這是用戶的責任當然，存儲密碼也是我的一個安全犯罪 – ppp 2012-04-06 08:56:03

爲什麼不採用雅虎（其中包括）使用的方法？有一個複選框讓你登錄。瀏覽器關閉它們被註銷。 – 2012-04-06 09:28:10

只需創建「註銷」鏈接，在那裏你在刪除之前的Cookie，接他們的電子郵件和郵寄他們的哈希，再生成的Cookie鏈接。所以他們可以在公共機器上註銷。

在通過數據庫處理之前對cookie進行淨化。

2012-04-06 08:30:41

註銷按鈕將刪除cookie，他們將不得不重新輸入數據。我只是問這是否是一個安全漏洞。 Cookies可能被篡改。如果有人也可以篡改ip，他們可能會非法訪問我的網站。 – ppp 2012-04-06 08:35:52

如果在刪除cookie之前存儲所有數據，則不適用。通過電子郵件發送鏈接重置cookie。 IP只能在Cookies中被篡改，所以你需要更好的安全性（結合電子郵件檢查就可以了） – 2012-04-06 08:38:11

那是當然，一個安全漏洞，因爲如果用戶登錄到您的網站，卻忘了註銷，使用此計算機（與電腦上相同的帳戶），任何人都可以登錄到您的網站。

請注意此問題也會發生所有的網站，只是它通常僅限於會話有效期。

因爲這是所有的網站是如何工作的，我不認爲這是一個真正的安全漏洞，但它肯定鼓勵用戶不修邊幅的安全性。這是一個椅子/鍵盤接口的安全漏洞：P

由於@Ed治癒是說，不存儲密碼在cookie中，存儲隨機令牌，而不是你會在DB保存。登錄過程應該檢查存儲在數據庫中的cookie是否等於cookie上的cookie。

2012-04-06 08:43:19 haltabush

回答