登录脚本，session_id's，cookies

Question

我一直在研究PHP登录脚本（从中我发现的主要事情到目前为止还有更多糟糕的东西比那里好......），唯一的让我感到困惑的事情是在登录脚本中一起使用会话和cookie。

我想我理解会话的使用，就用户何时通过登录检查而言，在会话中存储一些唯一变量并通过页面进行跟踪，以便页面知道它是哪个用户，但是我已经如此远远地总是使用用户的用户名或电子邮件地址。我已经读过使用在session_start（）创建的session_id，并将该值存储在cookie以及user_id中，但想知道这是什么奖金..（是否比用户名更难猜测？）。 session_id cookie是否用于在用户存在的情况下自动重新登录（例如“记住我”功能）或者对此进行进一步检查？ cookie值与哪里匹配？

道歉，如果这是一个很小的问题，只是不想要开始正走在一个敏感的问题，在错误的道路。

Answer 1

有关PHP安全权威答案我会强烈由克里斯·夏夫利特建议基本PHP安全。对于不使用框架的PHP开发人员来说，这是非常宝贵的。