改进的持久登录 Cookie 最佳实践

您可以使用此处描述的此策略作为最佳实践(2006)
或此处描述的更新策略(2015)：

1. 当用户在选中记住我的情况下成功登录时，除了标准会话管理 cookie 之外，还会 发出一个登录cookie。
2. 登录 cookie 包含 一个系列标识符和一个令牌 。系列和令牌是来自适当大空间的 不可猜测的随机数。 两者都一起存储在数据库表中， 令牌被散列 （sha256 很好）。
3. 当未登录用户访问该站点并显示登录 cookie 时，将 在数据库中查找 系列标识符。
   1. 如果存在 系列标识符 并且 令牌 的哈希与该系列标识符的哈希匹配，则认为用户已通过 身份验证 。生成一个 新令牌 ，该令牌的新哈希存储在旧记录上，并向用户发出一个新的登录 cookie（可以重复使用 系列标识符 ）。
   2. 如果该系列存在但令牌不匹配，则假定为 盗窃。 用户会收到措辞强硬的警告，并且用户记住的所有会话都将被删除。
   3. 如果用户名和系列不存在，登录 cookie 将被 忽略 。

这种方法提供纵深防御。如果有人设法泄露数据库表，它不会为攻击者提供冒充用户的机会。