Que devrait être stocké dans un cookie pour un système de connexion?

Question

Quelle est la meilleure chose à stocker dans un cookie pour garder un état connecté persistant?

J'ai vu de nombreux sites Web (et des tutoriels pour débutants!) Qui stockent simplement quelque chose comme validUser = 1 dans un cookie. Clairement, je pourrais usurper cela et le site web penserait que j'étais un utilisateur valide.

Si le nom d'utilisateur est stocké dans le cookie, je pourrais me faire passer pour n'importe quel utilisateur en envoyant un cookie avec son nom d'utilisateur dans ma demande. Donc, si vous stockez le nom d'utilisateur et mot de passe dans le cookie, alors je dois connaître le nom d'utilisateur et mot de passe pour se connecter. Effectivement l'utilisateur est connecté automatiquement - c'est comme avoir le mot de passe enregistré par son navigateur. Au lieu d'avoir à taper les informations d'identification dans les boîtes à chaque fois, le navigateur les envoie automatiquement à chaque demande de page.

Mais est-ce encore une mauvaise idée? Stocker un mot de passe en texte brut n'est pas une idée géniale, mais c'est comme ça qu'il serait envoyé dans les données POST lors de la connexion. Et d'ailleurs, il pourrait être stocké en hachage. Mais je ne me sens toujours pas à l'aise avec ça.

Il se peut que les cookies ne soient pas utilisés pour stocker autre chose qu'un ID de session et que les données utilisateur soient stockées sur le serveur lui-même. C'est peut-être un endroit plus sûr, supposant que le serveur n'est pas partagé. En regardant certains logiciels open source tels que les logiciels de forum, ils utilisent un système plus compliqué, mais je ne pouvais pas comprendre exactement ce qu'il faisait en parcourant le code.

Quelle est la «meilleure pratique» standard?

Answer 1

2 bons articles sont:

Persistent Login Cookie Best Practice

Improved Persistent Login Cookie Best Practice

Answer 2

meilleure pratique serait d'utiliser un SESSION au lieu d'un COOKIE pour les données d'utilisation. Les COOKIES sont utilisés pour stocker des informations génériques et non des informations spécifiques sur un utilisateur, c'est à cela que servent les SESSIONS.

Answer 3

La meilleure pratique consiste à stocker un ID de session généré de manière aléatoire. La session stocke alors l'identifiant de l'utilisateur ou tout ce dont vous avez besoin pour le stocker. En PHP, la méthode session_start() génère automatiquement l'identifiant de session et un cookie nommé PHPSESSID, vous n'avez donc qu'à vous soucier de stocker des données dans le tableau $ _SESSION, pas dans le cookie.

Answer 4

La seule chose qui devrait être dans un cookie est le sessionid généré par PHP (et ceci est fait automatiquement lorsque vous utilisez des sessions). Vous ne devriez rien stocker dans le cookie, sauf peut-être un nom d'utilisateur mémorisé dans le but d'une case à cocher "se souvenir de moi".