Как безопасно сохранять пароль в файлах cookie?

Question

Я предполагаю, что сохранение пароля, как и в печенье, небезопасно. Проблема в том, что я использую password_hash(), и для проверки пароля у меня должен быть пароль без шифрования. В форме для входа это легко -

<?php 
    password_verify($_POST['password'], $dbpassword); 
?> 

проблема заключается в проверке с использованием файлов cookie. В моем файле конфигурации у меня такая же проверка, как и в форме ведения журнала, за исключением того, что данные поступают из файлов cookie, и он возвращает false или true. Но пароль в cookie уже зашифрован, поэтому password_verify() не будет работать. И что же мне делать?

Answer 1

Невозможно безопасно хранить пароль в файле cookie. Альтернативой (хотя все еще не рекомендуется) является ее сохранение в $ _SESSION вместо этого - все еще несколько небезопасно в том, что сеанс может быть захвачен или что вредоносный код может привести к его отправке по сети. В любом случае вы не должны сравнивать фактические пароли, вам нужно использовать хеши (md5 или что-то более безопасное) с солью.

В основном:

$db_password=get_password_hash_from_db(); /*you should store the md5(salt+password) in the db, not password*/ 
$salt='some_secret_constant'; 
if ($_POST['password']) $_SESSION['password']=md5($salt+$_POST['password']); 
if ($_SESSION['password']!=$db_password) die('Wrong Password'); 

Answer 2

Сохранение паролей в печенье серьезный облом! Не делай этого!

Я думаю, что вы спрашиваете: «Как я могу проверить, зарегистрирован ли пользователь?»

Предлагаю использовать СЕССИИ, в отличие от COOKIES.

Когда пользователь посещает ваш сайт, COOKIE с идентификатором сеанса создается автоматически и передается на каждую доступную страницу.

Сессии хранятся на сервере.

Когда вы выполняете аутентификацию пользователя (проверьте, что имя пользователя и пароль существуют в базе данных и соответствуют предоставленным данным), вы можете установить некоторые переменные сеанса (например, $_SESSION['loggedin'] = true;), а затем, когда вы хотите проверить, вошел ли пользователь в систему, вы посмотрите на эту переменную сеанса (например

//Check if user is logged in. 
if(array_key_exists('loggedin',$_SESSION) && $_SESSION['loggedin'] === true) { 
    // do something here 
} 

Это только базовая реализация, и я настоятельно рекомендую прочитать некоторые онлайновые ресурсы в отношении PHP безопасности.