ログインするシステムで、「ログインを保持する」機能の安全な作り方 - よくあるログインシステムで、パソコンを閉じても「ログインを... - Yahoo!知恵袋

1.ユーザーにパスワードとかを登録させる。 2.ユーザーはパスワードとかを打ち込んでログインする。 3.パスワードが合ってたら、適当に予測不能な文字列を生成する（この文字列を以下、セッション・キーと呼ぶ）。 4.セッション・キーをDBとかに、ユーザーのIDと関連付けて保存する。 5.4で保存したセッション・キーと同じものをユーザーのクッキーに入れる 6.再訪問時は、ユーザーのクッキーの持つセッション・キーの値と、DBに入ってるセッション･キーが一致したら当該ユーザーと見なす。 7.ログアウト時はDB、クッキーともに破棄する。セッションキーはログインのたびに新しく作り直し。 また、DB側にセッション・キーの寿命を設定しておき、古いセッションキーは無効とする（クッキーの寿命設定だけでは脆弱です）。 これが基本です。 ユーザーに持たせる方を、サーバー側の持つセッションキーから生成される別のデータ