PHP-безопасность для файлов cookie и сеансов

Question

Что касается безопасности PHP с помощью куки-файлов и сеансов, то это то, что я сделал до сих пор для предотвращения атак. Что я сделал неправильно/небезопасно?

login.php

if ($username==$dbusername&&$hashed_password==$dbpassword){ 

setcookie('username[0]',$username,time()+(60*60*24*365)); 
setcookie('username[1]',$userid,time()+(60*60*24*365)); 
setcookie('password',$hashed_password,time()+(60*60*24*365)); 

if($admin=='1') { 
setcookie('username[3]',$admin,time()+(60*60*24*365)); 
} 
$_SESSION['logged-in']=1; 

logout.php

$time = time()-(60*60*24*365); 
setcookie('username[0]', '',$time); 
setcookie('username[1]', '',$time); 
setcookie('username[2]', '',$time); 
setcookie('username[3]', '',$time); 
setcookie('password', '',$time); 
unset($_COOKIE['username']); 
unset($_SESSION['logged-in']); 

Я называю session_regenerate_id() на everypage, это правильно, чтобы остановить фиксации сессии/угон?

<?php session_start(); session_regenerate_id(); 

Вот мой php.ini, что другие способы сделать я обеспечить безопасность сеансов & печенье

session.use_trans_sid = 0 
session.user_only_cookies = 1 

Все примеры/impovements приветствоваться, так как я лучше учиться на примерах.

Answer 1

Часто регенерация идентификатора сеанса выполняется при изменении привилегий доступа (например, после входа в систему).

Пароль должен быть не храниться в файле cookie с клиентской стороны, даже не для хэша. Его даже не нужно хранить в сеансе, вы используете его только для подтверждения входа в систему и после записи состояния на сеанс, вы должны забыть о пароле.

Если вы хотите действительно безопасный сайт, вам необходимо подключение HTTPS с SSL-шифрованием. В противном случае злоумышленник может прослушивать информацию, отправленную открытым текстом, и использовать идентификатор сеанса (или все, что вы используете для аутентификации пользователя), чтобы олицетворять пользователя.

Answer 2

Пожалуйста, действительно, пожалуйста, не храните пароль в качестве файла cookie. Он (компьютер) может находиться в кафе или в другом месте.

Это проблема с безопасностью и одна открыта для взлома.

BTW Передумайте и используйте хитроумный ум относительно того, как человек может проникнуть в вашу систему.