永久登入指的是瀏覽器會話間進行持續驗證的機制。換句話說，今天已登入的用戶明天依然是處於登入狀態，即使在多次造訪之間的用戶會話過期的情況下也是這樣。
永久登入的存在降低了你的驗證機制的安全性，但它增加了可用性。不是在使用者每次造訪時麻煩使用者進行身份驗證，而是提供了記住登入的選擇。
圖7-2. 攻擊者透過重播使用者的cookie進行未經授權存取
據我觀察，最常見的有缺陷的永久登入方案是將使用者名稱和密碼保存在一個cookie中。這樣做的誘惑是可以理解的——不需要提示用戶輸入用戶名和密碼，你只要簡單地從cookie中讀取它們即可。驗證過程的其它部分與正常登入完全相同，因此該方案是一個簡單的方案。
不過如果你確實是把用戶名和密碼存在cookie中的話，請立刻關閉該功能，同時閱讀本節的餘下內容以找到實現更安全的方案的一些思路。你將來還需要要求所有使用該cookie的使用者修改密碼，因為他們的驗證資訊已經暴露了。
永久登入需要一個永久登入cookie，通常稱為驗證cookie，這是由於cookie是被用來在多個會話間提供穩定資料的唯一標準機制。如果該cookie提供永久訪問，它就會造成對你的應用的安全的嚴重風險，所以你需要確定你保存在cookie中的資料只能在有限的時間段內用於身份驗證。
第一步是設計一個方法來減輕被捕獲的永久登入cookie所造成的風險。儘管cookie被捕獲是你需要避免的，但有一個深度防範流程是最好的，特別是因為這種機制即使在一切運作正常的情況下，也會降低驗證表單的安全性。這樣，該cookie就不能基於任何提供永久登入的資訊來產生，例如使用者密碼。
為避免使用使用者的密碼，可以建立一個只供一次驗證有效的標識：
CODE:
<?php
$token = md5(uniqid(rand(), TRUE));
?>
由於使用者名稱與密碼相比要不敏感一些，你可以把它存在cookie中，這可以幫助驗證程式確認提供的是哪個使用者的識別。可是，一個更好的方法是使用一個不易猜測與發現的第二個身份標識。考慮在儲存使用者名稱和密碼的資料表中加入三個欄位：第二個身分識別(identifier)，永久登入識別碼(token)，以及一個永久登入逾時時間(timeout)。
mysql> DESCRIBE users;
+------------+------------------+------+-----+---------+-------+
| Field | Type | Null | Key |
Default | Extra |
+------------+------------------+------+-----+---------+-------+
| username | varchar(25) | | PRI |
| |
| password | varchar(32) | YES | |
NULL | |
| identifier | varchar(32) | YES | MUL |
NULL | |
| token | varchar(32) | YES | |
NULL | |
| timeout | int(10) unsigned | YES | |
NULL | |
+------------+------------------+------+-----+---------+-------+
透過產生並保存一個第二身份標識與永久登入標識，你就可以建立一個不包含任何使用者驗證資訊的cookie。
CODE:
<?php
$salt = 'SHIFLETT';
$identifier = md5($salt . md5($username .
$salt));
$token = md5(uniqid(rand(), TRUE));
$timeout = time() + 60 * 60 * 24 * 7;
setcookie('auth', "$identifier:$token",
$timeout);
?>
CODE:
<?php
/* mysql_connect() */
/* mysql_select_db() */
$clean = array();
$mysql = array();
$now = time();
$salt = 'SHIFLETT';
list($identifier, $token) = explode(':',
$_COOKIE['auth']);
if (ctype_alnum($identifier) &&
ctype_alnum($token))
{
$clean['identifier'] = $identifier;
$clean['token'] = $token;
}
else
{
/* ... */
}
$mysql['identifier'] =
mysql_real_escape_string($clean['identifier']);
$sql = "SELECT username, token, timeout
FROM users
WHERE identifier =
'{$mysql['identifier']}'";
if ($result = mysql_query($sql))
{
if (mysql_num_rows($result))
{
$record = mysql_fetch_assoc($result);
if ($clean['token'] != $record['token'])
{
/* Failed Login (wrong token) */
}
elseif ($now > $record['timeout'])
{
/* Failed Login (timeout) */
}
elseif ($clean['identifier'] !=
md5($salt . md5($record['username'] .
$salt)))
{
/* Failed Login (invalid identifier) */
}
else
{
/* Successful Login */
}
}
else
{
/* Failed Login (invalid identifier) */
}
}
else
{
/* Error */
}
?>
l Cookie需在一週內（或更少）過期
l
l 在伺服器端限定cookie一週（或更少）時間內過期
如果你想要用戶無限制的被記住，那隻要是該用戶的訪問你的應用的頻度比過期時間更大的話，簡單地在每次驗證後重新生成標識並設定一個新的cookie即可。
另一个有用的原则是在用户执行敏感操作前需要用户提供密码。你只能让永久登录用户访问你的应用中不是特别敏感的功能。在执行一些敏感操作前让用户手工进行验证是不可替代的步骤。 最后，你需要确认登出系统的用户是确实登出了，这包括删除永久登录cookie： 上例中，cookie被无用的值填充并设为立即过期。这样，即使是由于一个用户的时钟不准而导致cookie保持有效的话，也能保证他有效地退出。
以上就是PHP安全-永久登录的内容，更多相关内容请关注PHP中文网（www.php.cn）！CODE:
<?php
setcookie('auth', 'DELETED!', time());
?>
