cookie防止仿造安全讲解

以前我们刚写php的时候，做后台，需要管理员身份认证。一般用cookie这么做的，特别是刚接触php的php爱好者：
admin/login.php

if(用户名&&密码正确) {
setcookie(‘admin’,1,time()+36400);
echo ‘登录成功’;
}

if($_cookie[admin] == 1) {
echo ‘有权限’;
}

但是这样会造成很大的安全隐患，很多浏览器可以直接修改cookie，或者直接在系统里修改。

只要伪造cookie，那么管理权限就拿到了

为了安全，这么做：

if(用户名&&密码正确) {
setcookie(‘userid’,用户在系统中的id,time()+36400);
setcookie(‘userpass’,用户在系统中的32位md5密码,time()+36400);
echo ‘登录成功’;
}

判断权限的时候这么做：

if($_cookie[userid]) {
$query = mysql_query(select * user table where userid = ‘$_cookie[userid]’ and userpass = ‘$_cookie[userpass]’);
$row = mysql_fetch_array($query);
if($row[rank] 1) {
echo ‘没有权限’;
}
}

这样伪造cookie就没有任何作用了

http://www.bkjia.com/phpjc/629572.htmlwww.bkjia.comtruehttp://www.bkjia.com/phpjc/629572.htmltecharticle以前我们刚写php的时候，做后台，需要管理员身份认证。一般用cookie这么做的，特别是刚接触php的php爱好者： admin/login.php if( 用户名 密码正…