永久会话/第二密码是个好主意吗？

Question

所以，想法是为每个用户存储另一个“密码”或认证值，当通过cookies认证时，您只需比较这些值。这样，如果cookie被某种方式盗取，与真实密码无关。

对于重要的操作，如更改密码等，用户需要提供他的密码，并验证与原始密码（盐渍，加密等）。

Answer 1

IMO没有任何理由让密码和session/auto-login-cookie有任何关联。所以是的，我会让他们完全分开。我通常在Cookie中使用随机值并将服务器端数据与它关联。这也允许我从服务器端使任何cookie失效。

Answer 2

你的问题不太清楚，但不要把密码放在你的cookies中。

这样，你只需要一个密码。

“永久性”Cookie的一个解决方案是对会话有一个时间限制，如果达到该限制，则需要密码做重要事情（即访问您的帐户，查看您的电子邮件，更改密码等）。 ）

正如CodesInChaos所述，cookie只是一个随机数。但是，您必须确保该数字是由一个好的随机生成器生成的（即一些OpenSSL函数表示它具有非常好的熵）。