用戶(hù)登錄驗證方案：
在保存用戶(hù)名和密碼的數據表中加入三個(gè)字段：第二身份標識(identifier)，永久登錄標識(token)，以及一個(gè)永久登錄超時(shí)時(shí)間(timeout)。
mysql> DESCRIBE users;
+------------+------------------+------+-----+---------+-------+
| Field | Type | Null | Key | Default | Extra |
+------------+------------------+------+-----+---------+-------+
| username | varchar(25) | | PRI | | |
| password | varchar(32) | YES | | NULL | |
| identifier | varchar(32) | YES | MUL | NULL | |
| token | varchar(32) | YES | | NULL | |
| timeout | int(10) unsigned | YES | | NULL | |
+------------+------------------+------+-----+---------+-------+
通過(guò)產(chǎn)生并保存一個(gè)第二身份標識與永久登錄標識，你就可以建立一個(gè)不包含任何用戶(hù)驗證信息的cookie。
CODE:
<?php
$salt = ‘SHIFLETT‘;// 可
$identifier = md5($salt . md5($username . $salt));
$token = md5(uniqid(rand(), TRUE));
$timeout = time() + 60 * 60 * 24 * 7;
setcookie(‘a(chǎn)uth‘, "$identifier:$token", $timeout);
?>
當一個(gè)用戶(hù)使用了一個(gè)永久登錄cookie的情況下，你可以通過(guò)是否符合幾個(gè)標準來(lái)檢查：
CODE:
<?php
/* mysql_connect() */
/* mysql_select_db() */
$clean = array();
$mysql = array();
$now = time();
$salt = ‘SHIFLETT‘;
list($identifier, $token) = explode(‘:‘, $_COOKIE[‘a(chǎn)uth‘]);
if (ctype_alnum($identifier) && ctype_alnum($token))
{
$clean[‘identifier‘] = $identifier;
$clean[‘token‘] = $token;
}
else
{
/* ... */
}
$mysql[‘identifier‘] = mysql_real_escape_string($clean[‘identifier‘]);
$sql = "SELECT username, token, timeout
FROM users
WHERE identifier = ‘{$mysql[‘identifier‘]}‘";
if ($result = mysql_query($sql))
{
if (mysql_num_rows($result))
{
$record = mysql_fetch_assoc($result);
if ($clean[‘token‘] != $record[‘token‘])
{
/* Failed Login (wrong token) */
}
elseif ($now > $record[‘timeout‘])
{
/* Failed Login (timeout) */
}
elseif ($clean[‘identifier‘] !=
md5($salt . md5($record[‘username‘] . $salt)))
{
/* Failed Login (invalid identifier) */
}
else
{
/* Successful Login */
}
}
else
{
/* Failed Login (invalid identifier) */
}
}
else
{
/* Error */
}
?>
你應該堅持從三個(gè)方面來(lái)限制永久登錄cookie的使用。
l Cookie需在一周內（或更少）過(guò)期
l Cookie最好只能用于一次驗證（在一次成功驗證后即刪除或重新生成）
l 在服務(wù)器端限定cookie在一周（或更少）時(shí)間內過(guò)期
如果你想要用戶(hù)無(wú)限制的被記住，那只要是該用戶(hù)的訪(fǎng)問(wèn)你的應用的頻度比過(guò)期時(shí)間更大的話(huà)，簡(jiǎn)單地在每次驗證后重新生成標識并設定一個(gè)新的cookie即可。
另一個(gè)有用的原則是在用戶(hù)執行敏感操作前需要用戶(hù)提供密碼。你只能讓永久登錄用戶(hù)訪(fǎng)問(wèn)你的應用中不是特別敏感的功能。在執行一些敏感操作前讓用戶(hù)手工進(jìn)行驗證是不可替代的步驟。
最后，你需要確認登出系統的用戶(hù)是確實(shí)登出了，這包括刪除永久登錄cookie：
CODE:
<?php
setcookie(‘a(chǎn)uth‘, ‘DELETED!‘, time());
?>
上例中，cookie被無(wú)用的值填充并設為立即過(guò)期。這樣，即使是由于一個(gè)用戶(hù)的時(shí)鐘不準而導致cookie保持有效的話(huà)，也能保證他有效地退出。
聯(lián)系客服
