Ho capito bene la funzione "autologin" del sito web?

Prima chiariamo alcune cose:

1. Le sessioni PHP, nella loro forma predefinita sono basate sui cookie, ho una panoramica di come funzionano in un'altra risposta . Ma dal momento che sono basati sui cookie, secondo me, se baserai il tuo flusso di lavoro di autenticazione e autorizzazione sui cookie, vai con i normali cookie per tutto - e usa le sessioni solo per quello a cui sono destinate: persistenza dei dati di sessione.

2. Lo schema di accesso circolare che hai notato è esattamente il motivo per cui devi eliminare i cookie al logout. Inoltre, come @Morons scrive , quando un utente fa clic su Esci, si aspetta di uscire. Non cancella la funzione di login automatico, ma dovrebbe essere possibile disconnettersi in qualsiasi momento.

Ora, il mio approccio di accesso automatico è simile a questo:

Cheovviamenteèpiuttostosemplice,maciòcheèveramenteimportanteèl'interocontrollo"cookie è valido". Quando un utente accede correttamente con l'opzione "ricordami", ho generato un token di accesso automatico: una stringa casuale unica sensibilmente , molto probabilmente un hash salato .

Questa è l'unica cosa che immagazzino nel cookie, nient'altro altro. Non è necessario memorizzare nulla che possa identificare un singolo utente in un cookie, è necessario evitare di memorizzare elementi come nomi utente ed e-mail (anche con hash). Nel mio database, ho una semplice tabella token che in pratica memorizza:

1. Un ID utente,
2. Il token,
3. Una data di scadenza

E il mio controllo riguarda solo la verifica di questo tavolo. La data di scadenza può sembrare eccessiva, in quanto puoi far scadere il cookie quando vuoi, ma: dovresti trattare tutto ciò che arriva insieme al cookie come input dell'utente, non sicuro e facilmente falso. Ciò include la sua scadenza. E ovviamente al logout non mi preoccupo di uccidere il cookie, ho appena impostato un NOW() come data di scadenza. Facile come una torta, e tengo la maggior parte degli elementi del controllo lato server, dove ci si sente un po 'più sicuri.

In un progetto recente, ho fatto un ulteriore passo avanti e ho aggiunto il controllo ad ogni richiesta di pagina invece di memorizzare qualcosa in una sessione per indicare una sessione autorizzata. Alcuni potrebbero obiettare che la chiamata al database porterà a problemi di prestazioni, ma la mia tabella 'token' è cresciuta fino a circa 10 milioni di token ¹ e ancora non ho notato alcun problema reale. Tieni presente che le sessioni comportano l'accesso al file system, che non è quasi mai più veloce di un semplice select .

Ovviamente, qualsiasi cookie che memorizza qualsiasi cosa relativa all'autenticazione e all'autorizzazione deve essere crittografato . E ti consiglio di applicare sempre i cookie sicuri, con setcookie() è facile come impostare il parametro secure a true:

Indicates that the cookie should only be transmitted over a secure HTTPS connection from the client. When set to TRUE, the cookie will only be set if a secure connection exists. On the server-side, it's on the programmer to send this kind of cookie only on secure connection (e.g. with respect to $_SERVER["HTTPS"]).

_{¹ Non elimino i token scaduti per una serie di motivi.}

Non intendo superare la risposta esaustiva di @Yannis Rizos, ma voglio solo rispondere a un elemento molto specifico che hai chiesto: L'opzione "Esci" esiste proprio in modo che l'utente possa indicare che non desidera essere ricordato più. Controlla tutti i principali siti web e vedrai che funzionano tutti in questo modo: una volta che ho controllato la casella di controllo "ricordami" nella schermata di accesso, e finché non effettuo esplicitamente il logout, sono ricordato. Una volta che mi disconnetto esplicitamente, non mi ricordo più.

Un paio di altri punti:

In tutti i principali siti Web che conosco, "ricordami", naturalmente, significa "ricorda sia il mio nome utente che la mia password"; in altre parole, "per favore non disturbarmi con le schermate di accesso".

Inoltre, lo stato dell'arte al giorno d'oggi per i siti web generalmente utilizzati da persone quotidiane, come Gmail, sembra essere che circa una volta al mese dovresti comunque dimenticare gli utenti, il che significa che vedono un log-in schermo e devono ri-digitare le loro credenziali una volta al mese. Apparentemente loro (cioè i ragazzi di Gmail) hanno fatto delle ricerche su questo argomento e hanno scoperto che questo aiuta gli utenti a ricordare la loro password, con un minimo di fastidio. (Solo una volta al mese.)

La disconnessione dovrebbe disconnettere l'utente finché non si collega (manualmente) nuovamente. es .: un disarmo temporaneo dell'accesso automatico.

In altre parole, elimina il cookie.

Ricordami dovresti ricordare solo nome utente non la password .