Automatyczne logowanie usera

Question

Witam tworzę skrypt logowania w którym jest zawarta opcja zapamiętaj.

Teraz mam tutaj pytanie czy jest to bezpieczne z punktu widzenia cookies i jak takie dane można zabezpieczyć?

Jeśli mamy usera o loginie admin i haśle 1234.

Jeśli zapiszemy te dane w cookies to są one widoczne bez problemu. Co będzie jak ktoś nam takie dane wykradnie.

Słyszałem że istnieje coś takiego jak przedłużanie sesji lub hashowanie base64, czy to coś pomoże?

Jak rozwiązać problem z bezpieczeństwem plików cookies

Z góry dziękuje za pomoc

Answer 1

Żadnego hasła w ciasteczku, nawet zahashowanego. Zrób dla każdego usera oddzielny identyfikator i token (token zahashowany jak hasło), zapisz je w bazie i na ich podstawie przeprowadzaj uwierzytelnianie użytkownika. Do wygenerowania identyfikatora i tokenu możesz użyć np. funkcji bin2hex(random_bytes(32)). Dobrze jest też zmieniać token za każdym logowaniem.

Answer 2

Ja zrobiłbym to na zasadzie pobierania tokenu bez limitu ważności, albo z jakimś długim typu 3 dni

I wtedy zapisujesz sam token a nie dane logowania

A co do przechwytywania... jak jesteś zalogowany to i tak masz zapisany token, tylko że ten token ma ważność załóżmy 15 minut