И аз скоро се интересувах точно от това и разгледах доста статии в интернет. Ако ползваш метод от горните постове ще оставиш голяма дупка в сайта си за session hijacking! В крайна сметка стигнах до следният начин на действие:
Когато потребителя изпрати данни за вход и е маркирано полето "запомни ме" се изпраща бисквитка на потребителя съдържаща потребителското име и token, който се генерира на момента и се запазва в базата данни.
Token-a е желателно да е от 20-30 символа най-малко, препоръчително е да са повече. Когато потребителя влезе във сайта и сесията му е изтекла, но бисквитката стои, прави се проверка дали потребителското име и token-а съществуват в базата данни. Ако не съществуват си логваш ip и тнт, ако съществува, логваш потребителя, ъпдейтваш token-а в базата данни и изпращаш нова бисквитка с новия token. Препоръчително е тези бисквитки да са с флаг HttpOnly. Препоръчително за всички бисквитки, чиято стойност няма да се използва от JavaScript, защото когато зададеш HttpOnly флаг на setCookie, бисквитката не се вижда от JS, само от сървъра.
Тази функция си я написах преди време и ми върши добра работа при генериране на token-чета. Свободно можеш да използваш нея или която и да е друга от интернет
PHP:
function makeToken ($length=0) {
$length = $length + 0;
// make simple validation
if ( ! $length || $length < 10) {
// generate random length
$length = rand(10, 250);
}
// holds generated characters
$chars = "";
while ($length--) {
// gets random ascii character
// ref. http://www.asciitable.com/
$chars .= chr(rand(33, 126));
}
return $chars;
}
