Кодирование файлов cookie, чтобы их нельзя было подделать или прочитать и т. Д

Краткий ответ

Не делай этого. В конце концов ты пожалеешь об этом. Конечно, вы могли бы зашифровать его, но что произойдет, когда кто-то узнает ваш ключ шифрования. Теперь вы просто вручили им все верительные грамоты на тарелочке (ну, не совсем, но достаточно близко).

Лучший Способ Сделать Это

Вместо того, чтобы хранить имя пользователя и пароль в зашифрованном виде, почему бы не создать случайный токен и не сохранить его вместе с именем пользователя? Вы бы хотели что-то значительное, так что что-то например, хэша sha256 должно быть достаточно.

$randomToken = hash('sha256',uniq_id(mt_rand(), true).uniq_id(mt_rand(), true));

Затем сохраните его в бд рядом с пользователем и отправьте файл cookie клиенту (я бы также предложил подписать маркер, чтобы предотвратить подделку:

$randomToken .= ':'.hash_hmac('md5', $randomToken, $serverKey);

Теперь, когда вы проверяете, сначала проверьте, совпадает ли хэш:

list($token, $hmac) = explode(':', $_COOKIE['remember_me'], 2);
if ($hmac != hash_hmac('md5', $token, $serverKey)) {
    die('tampered token!');
}

Оттуда просто найдите пользователя по маркеру. Если вы его найдете, войдите в систему этого пользователя.

Я бы также предложил менять токен при каждой смене пароля.

Чтобы ответить на ваш прямой вопрос

Примечание: не делайте этого в реальном, производственном коде . Вы никогда не сможете полностью доверять данным, которые покидают ваш веб-сервер. Так что не раскрывайте информацию о своем пользователе подобным образом. Оно того не стоит. Тем не менее, я добавил некоторые дополнительные проверки (например, подпись файла cookie), чтобы сделать его несколько более безопасным, но вас предупредили...

Чтобы закодировать его, я бы использовал mcrypt для шифрования данных в файле cookie. Затем я бы сделал случайную соль и сохранил ее у пользователя строку, а затем подпишите зашифрованные данные с помощью hash_hmac используя эту уникальную соль. Таким образом, если кто-то перехватит файл cookie и вычислит ключ к шифрованию, вы все равно сможете обнаружить недействительный hmac, чтобы найти несанкционированные вмешательства.

function generateCredentialsCookie($user_id, $password) {
    $encrypted = encrypt($user_id.':'.$password, $secretkey);
    $salt = uniq_id(mt_rand(), true);
    $encrypted .= ':'.hash_hmac('sha256', $encrypted, $salt);
    storeSaltForUser($user_id, $salt);
    set_cookie('credentials', $encrypted);
}

function readCredentialsCookie() {
    $parts = explode(':', $_COOKIE['credentials']);
    $salt = array_pop($parts);
    $encrypted = implode(':', $parts); //needed incase mcrypt added `:`
    $raw = decrypt($encrypted, $secretkey);
    list ($user_id, $password) = explode(':', $raw, 2);
    if ($salt == getSaltForUser($user_id)) 
        return array($user_id, $password);
    } else {
        return die('Invalid Cookie Found');
    }
}

Примечание - это псевдокод. Вам понадобится гораздо больше для обеспечения безопасности (например, проверка на наличие недопустимых значений, проверка успешной расшифровки и т. Д.)..

НЕ Используйте Длительные Сеансы!

Вы должны держите срок действия сеанса как можно ниже (я обычно использую 30-минутные сеансы, но некоторые сайты ниже). Срок действия истекает после последнего использования, поэтому, пока сайт активно используется, это не будет иметь значения.

Что касается того, почему бы не использовать длительный сеанс, вот некоторые минусы:

• DOS (Отказ В Обслуживании создаются уязвимости

  • Дисковое пространство - Каждый сеанс использует достаточно небольшой объем дискового пространства. Но когда у вас длительный сеанс, каждый новый сеанс только добавляет к предыдущему итогу. Таким образом, при длительных сеансах кому-то просто нужно продолжать посещать ваш сайт снова и снова с новым идентификатором сеанса, и вдруг у вас не хватает места на диске (при условии, что на нормальном диске).

  • Пространство папок - Каждый сеанс занимает один файл в одной папке. Большинство популярных файловых систем будут замедляться при большом количестве файлов в одной папке. Поэтому, если вы поместите 1 миллион файлов сеанса, чтение или запись в файл сеанса будет медленным (очень медленным). И сборка мусора (которая очищает старые файлы) будет ОЧЕНЬ, ОЧЕНЬ, ОЧЕНЬ медленной (если она вообще будет выполняться).

• Обнаруживаются уязвимости при захвате сеанса. Это связано с тем, что чем больше сеансов у вас открыто на сайте, тем легче будет угадать действительный идентификатор (благодаря атаке на день рождения ). Чем меньше сеансов у вас будет, тем сложнее будет угадать действительный один.

Вероятно, есть и другие, но это краткий обзор. Вместо длительных сеансов используйте подписанный маркер запоминания, как описано выше. Вам будет намного лучше, и вы будете в гораздо большей безопасности...