Automatyczne logowanie - co przechowywać w cookies?, Dotąd przechowywałem hash hasła, ale chyba są bezpieczniejsze sposoby? Opcje

[Apocalyptiq]

Ostatnio zajrzałem w ciastka youtube.com - no i tam, przy ciastku automatycznego logowania, jest bardzo długi ciąg znaków, nie wydaje mi się żeby to był hash hasła. To jest chyba unikalny ciąg znaków, który zostaje przyporządkowany każdemu użytkownikowi podczas logowania? I używany jest właśnie do automatycznego logowania, dzięki czemu nie musimy wysyłać do ciastek hasha hasła? No i podczas logowania, szukany jest w bazie użytkownik o takim hashu?

Hm, a nie prościej po prostu przechowywać tam ID użytkownika? Czy jednak istnieje jakiś sposób podrobienia ciastek?

[batman]

Ale po co? Skoro w bazie ma być zapisany ten hash tych pomieszanych danych, to one się nie zmienią, więc po co sprawdzać je z aktualnymi danymi? Chyba że ten hash ma się zmieniać - ale wtedy ktoś, kto ma włączone automatyczne logowanie, przy tym sprawdzaniu (jeżeli jakieś dane się zmieniły), nie zostanie zalogowany.

No właśnie hash nie jest stały. Może ulec zmianie, w zależności od niektórych akcji użytkownika oraz innych czynników. A to, że ktoś nie zostanie automatycznie zalogowany, to jest to wybór mniejszego zła. Znacznie łatwiej wytłumaczyć klientowi dlaczego go nie zalogowało automatycznie, niż to, że ktoś obcy przegląda jego konto.