sécurité Cookie php

Question

J'utilise un système de cookies de base pour la partie « Se souvenir de moi » d'un journal sous forme. Voici le code:

if(isset($_POST['submit'])) 
{ 
$username = $_POST['username']; 
$password = $_POST['password']; 

    if($username&&$password) 
    { 
     $connect = mysql_connect('localhost','root',''); 
     mysql_select_db('phplogin'); 
     $query = mysql_query("SELECT * FROM utilisateurs WHERE NomUtilisateur='$username' AND MotDePasse='$password'"); 

     $rows = mysql_num_rows($query); 
     if($rows==1) 
     { 
      if($_POST['checkbox']) 
      { 
       setcookie('username',$username,time()+3600); 
       header('Location: membre.php');  

      }else{$_SESSION['username']=$username;header('Location:membre.php');} 
     }else echo "Something something error"; 
    }else echo "Something something darkside"; 
} 

Je ne suis pas sûr si je quitte besoin d'obtenir le cookie et si oui, comment le faire? Tout ce que je veux vraiment faire est de ne pas permettre aux gens de se connecter à un autre compte utilisateur avec un faux cookie ou de mettre des informations sensibles en clair dans le cookie.

Answer 1

Actuellement tout le monde peut se connecter s'il connaît le nom d'utilisateur d'un utilisateur. Même si un cookie est défini, vous devez avoir un processus pour identifier les utilisateurs qu'ils sont de véritables clients. Par exemple, lorsqu'un utilisateur se connecte, vous pouvez enregistrer une chaîne alphanumérique aléatoire enregistrée dans les cookies et votre base de données contre cet utilisateur, et la prochaine fois que vous vérifiez la chaîne avec la valeur dans votre base de données et n'oubliez pas de changer la chaîne alphanumérique tous les X jours, cela empêche les attaquants de copier les cookies de quelqu'un et de les utiliser pour se connecter. Quelque chose comme ça ne

$uniquekey  = 'A234W'; 
$randomstring = sha1(strval(rand(0,microtime(true))+ $uniquekey + strval(microtime(true)))); 
setcookie('loginID', $randomstring, time()+60*60*24*7,'/', 'www.yoursite.com', false, true); 

et lors de la lecture de l'utilisation des cookies mysql_real_escape_string pour filtrer tout code malveillant