请问应该如何安全地将用户的登录信息保存在 cookie 里？

[gdtv]

cookie 里该保存哪些参数呢？

方式一：
user_name: gdtv
读取到 user_name 即表示已登录，显然这种很不安全

方式二：
存到 session 里
这种方式似乎不能“记住密码”？关闭浏览器再打开就失效了。

方式三：
user_name: gdtv
exxpired_time: xxx
rand_string: kfjherogelw34535
token: md5(user_name+salt+exxpired_time+rand_string)
读取到 user_name ，并且校验 token 通过，表示已登录

方式四：
auth_id: HUIFELK6832579824
在服务器端建一个数据表（数据库或者内存表）存放已登录用户信息，根据读取到的 auth_id 去查询，查到了就表示已登录。类似于 php 的 session 。

方式五：
请提供


请问一般使用什么方式呢？谢谢。

[jugelizi]

第二种为什么失效？因为你没有设置 sessionid 的有效期呀

[cszchen]

第一次登录
1.用户输入用户密码登录
2.验证通过后，保存用户 id 到 session 和 cookie （ cookie 要加密并设置有效期）
3.每次请求都通过用户 id 在数据库查一次
关闭浏览器后再次打开
1.解密 cookie 后，发现有用户 id
2.通过 id 从数据库查找用户
3.确认无误后执行登录操作
4.保存 session 和 cookie （以后的步骤同上）

[jones]

看 Rails 的 ActionDispatch::Session::CookieStore ，直接山寨一份即可

[f0rger]

一般使用方式 3 吧，然后把某个或者全部校验用的设置为 http-only 。

[3dwelcome]

用会过期的 auth_id 飘过。

[gamexg]

如果想支持查询已登录的会话就用 4 ，一般只用 session 即可。
方法 3 需要将密码也加入 token ，达到修改密码后所有已登录的会话全部失效。

[holyghost]

http://jaspan.com/improved_persistent_login_cookie_best_practice
已经有最佳实践了啊

[hqfzone]

@gamexg 密码加入？不至于吧……

[gamexg]

@hqfzone 密码加入是比较方便的解决更改密码后注销已登录会话的办法。当然不是直接将原始密码保存下来，而是将数据库保存的 hash 后的密码加入 token 参数里面。

[skydiver]

第二种怎么就不行了
session 实际上就是 cookie 存一个 sessionid ， cookie 能做到的 session 也能做到

[kirisetsz]

一个 userId 然后用 HMAC 校验

[clino]

我觉得一般是第四种吧

[hqfzone]

@gamexg 加个标记即可，比如改密时间。有些网站在改密码时可以选择是否让原有登录失效，加密码当然简单，但显然不太好。
……我是外行，我猜的。