0

Вопрос простой, но я что-то до конца не могу разобраться. У меня есть форма авторизации с флажком "Запомнить меня", что нужно делать, после того, как пользователь ввел верно свой логин и пароль в ситуации, когда он нажал на флажок, и без него. Вот то, что я пытаюсь сделать, правильно ли это?

if(isset($_POST['check'])){
            $_COOKIE['login'] = $users['login']; 
            $_COOKIE['password'] = md5($users['password']);
            $_SESSION['id'] = $users['id'];
            $cookie = $_COOKIE['login']."|".$_COOKIE['password'];
            setcookie("user", $cookie, time() +9999);
            header("Location: logout.php"); 
        }else{
            $_SESSION['id'] = $users['id'];
            header("Location: logout.php");
        }

Тоесть, если флажок нажат, то я сохраняю в куках логин и пароль пользователя и кидаю их ему, плюс открываю сессию для данного пользователя. А если он не нажат, то пользователь просто заходит на время сессии.

1 ответ 1

3

Логика вроде правильная.

Вот только хранить пароль в куках - не самое лучшее решение.. Лучше добавь какой-то ключ, который будет храниться/обновляться и в базе тоже (т.е. дополнительное поле в таблице добавить нужно). Ключ можно создать с помощью функции crypt от логина, например. При авторизации пользователем, генерируешь ключ, который запишешь в базу и будешь хранить в куках. При следующем заходе пользователя, проверять будешь уже по ключу, на соответствие такой комбинации (логин-ключ) в базе.

6
  • Только не crypt логина, а наверное, логина+timestamp[+random]
    – Bars
    17 июн 2013 в 9:24
  • Да, тут уже на сколько фантазии хватит.. Главное без фанатизма и прочитать перед этим мануал. Т.к. есть нюансы.. :)
    – nathaira
    17 июн 2013 в 9:41
  • @nathaira, спасибо за ответ. Прочитал про соль в паролях, теперь стало более ясно. Но ведь с другой стороны в куках опасно хранить пароль в любом виде, так как их могут просто подменить, как тогда быть? Советуют сессии, но ведь сессия живет, пока открыт браузер, а мне, например, надо сохранить авторизованность у пользователя, скажем, на неделю.
    – andreyqin
    17 июн 2013 в 13:26
  • сессия живет пока существует кука сессии, вообще механизм сессии примерно такой: ты приходишь в секретную организацию и суперначальнику говоришь пароль и свое имя (суперначальник скажем занят и не хочет каждый раз встречать тебя на проходной), а он тебе выдает пропуск на котором написано - действительно месяц, id такой-то.Вахтер, при каждом твоем приходе, будет записывать только твой id и не узнает как тебя зовут, но по запросу и вахтер и кладовщик смогут узнать твои права которые относятся к их обязанностям, причем все твои действия будут записаны, но доступ к ним имеет только суперначальник
    – zb'
    17 июн 2013 в 13:45
  • сессия авторизации действительна, пока ты не выкинешь пропуск. Либо пока пропуск не истечет (на самом деле время действия пропуска помнит вахтер)
    – zb'
    17 июн 2013 в 13:45

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.