cookies/sessions :: 登录和注销用户的最佳方法

Posted 2023-05-08

【中文标题】cookies/sessions :: 登录和注销用户的最佳方法

【英文标题】：cookies/sessions :: best approach for logging a user in & out

【发布时间】：2011-07-07 15:02:57

【问题描述】：

当用户通过我的网站进行身份验证时，他们会收到一个会话和 cookie（加密）。该cookie 包含logged_in 的布尔值。

目前，当他们注销时，我会销毁会话，这会使 cookie 无效，并且 logged_in 布尔值对我来说毫无用处。

最好让会话和 cookie 保持活动状态并严格管理身份验证，而不是logged_in 值，还是最好销毁会话？

谢谢， 彼得

【参考方案1】：

不要让cookie决定用户是否登录。只需将User-ID和Session-ID保存在cookie中，让服务器决定会话是否活跃。为此，您可以在服务器上维护一个列表，该列表为每个 Session-ID 存储最后一个事务时间戳，并定期清理该列表中的所有 Session-ID，例如 1 小时内没有事务。

【讨论】：

感谢您的回复。我将会话存储在一个表中，该表决定了 cookie。所以我猜它在那里。