用戶登錄驗(yàn)證方案：

在保存用戶名和密碼的數(shù)據(jù)表中加入三個(gè)字段：第二身份標(biāo)識(shí)(identifier)，永久登錄標(biāo)識(shí)(token)，以及一個(gè)永久登錄超時(shí)時(shí)間(timeout)。

mysql> DESCRIBE users;

  +------------+------------------+------+-----+---------+-------+

  | Field      | Type             | Null | Key | Default | Extra |

  +------------+------------------+------+-----+---------+-------+

  | username   | varchar(25)      |      | PRI |         |       |

  | password   | varchar(32)      | YES  |     | NULL    |       |

  | identifier | varchar(32)      | YES  | MUL | NULL    |       |

  | token      | varchar(32)      | YES  |     | NULL    |       |

  | timeout    | int(10) unsigned | YES  |     | NULL    |       |

  +------------+------------------+------+-----+---------+-------+

  通過產(chǎn)生并保存一個(gè)第二身份標(biāo)識(shí)與永久登錄標(biāo)識(shí)，你就可以建立一個(gè)不包含任何用戶驗(yàn)證信息的cookie。

CODE:

  <?php

  $salt = ‘SHIFLETT‘;// 可

  $identifier = md5($salt . md5($username . $salt));

  $token = md5(uniqid(rand(), TRUE));

  $timeout = time() + 60 * 60 * 24 * 7;

  setcookie(‘a(chǎn)uth‘, "$identifier:$token", $timeout);

  ?>

當(dāng)一個(gè)用戶使用了一個(gè)永久登錄cookie的情況下，你可以通過是否符合幾個(gè)標(biāo)準(zhǔn)來檢查：

CODE:

 <?php

  /* mysql_connect() */

  /* mysql_select_db() */

  $clean = array();

  $mysql = array();

  $now = time();

  $salt = ‘SHIFLETT‘;

  list($identifier, $token) = explode(‘:‘, $_COOKIE[‘a(chǎn)uth‘]);

  if (ctype_alnum($identifier) && ctype_alnum($token))

  {

    $clean[‘identifier‘] = $identifier;

    $clean[‘token‘] = $token;

  }

  else

  {

    /* ... */

  }

  $mysql[‘identifier‘] = mysql_real_escape_string($clean[‘identifier‘]);

  $sql = "SELECT username, token, timeout

          FROM   users

          WHERE  identifier = ‘{$mysql[‘identifier‘]}‘";

  if ($result = mysql_query($sql))

  {

    if (mysql_num_rows($result))

    {

      $record = mysql_fetch_assoc($result);

      if ($clean[‘token‘] != $record[‘token‘])

      {

        /* Failed Login (wrong token) */

      }

      elseif ($now > $record[‘timeout‘])

      {

        /* Failed Login (timeout) */

      }

      elseif ($clean[‘identifier‘] !=

              md5($salt . md5($record[‘username‘] . $salt)))

      {

        /* Failed Login (invalid identifier) */

      }

      else

      {

        /* Successful Login */

      }

    }

    else

    {

      /* Failed Login (invalid identifier) */

    }

  }

  else

  {

    /* Error */

  }

  ?>

你應(yīng)該堅(jiān)持從三個(gè)方面來限制永久登錄cookie的使用。

l        Cookie需在一周內(nèi)（或更少）過期

l        Cookie最好只能用于一次驗(yàn)證（在一次成功驗(yàn)證后即刪除或重新生成）

l        在服務(wù)器端限定cookie在一周（或更少）時(shí)間內(nèi)過期

  如果你想要用戶無限制的被記住，那只要是該用戶的訪問你的應(yīng)用的頻度比過期時(shí)間更大的話，簡單地在每次驗(yàn)證后重新生成標(biāo)識(shí)并設(shè)定一個(gè)新的cookie即可。

  另一個(gè)有用的原則是在用戶執(zhí)行敏感操作前需要用戶提供密碼。你只能讓永久登錄用戶訪問你的應(yīng)用中不是特別敏感的功能。在執(zhí)行一些敏感操作前讓用戶手工進(jìn)行驗(yàn)證是不可替代的步驟。

  最后，你需要確認(rèn)登出系統(tǒng)的用戶是確實(shí)登出了，這包括刪除永久登錄cookie：

CODE:

  <?php

  setcookie(‘a(chǎn)uth‘, ‘DELETED!‘, time());

  ?>

上例中，cookie被無用的值填充并設(shè)為立即過期。這樣，即使是由于一個(gè)用戶的時(shí)鐘不準(zhǔn)而導(dǎo)致cookie保持有效的話，也能保證他有效地退出。