PHP cookie 和会员安全

我创建了一个论坛，该论坛在登录时使用 PHP 会话来确定用户 ID，并使用 cookie 来进行日志登录。

我想我有两个问题：

1. 这是最好/最安全的方法吗？
2. 可以使用javascript通过地址栏手动添加cookie，这是一个巨大的安全风险。有没有办法解决？

Thanks!

首先，确保您使用的是 https 而不是 http。这将防止您的流量被嗅探和利用。

其次，生成尽可能随机的值以用作 cookie 中的标记。这就是许多大型网站进行用户跟踪的方式。在服务器端有一个用户的令牌映射来跟踪身份。请记住：来自客户端的任何内容都是不可信的并且可能被篡改。

第三，使用HMAC https://en.wikipedia.org/wiki/Hash-based_message_authentication_code使篡改变得更加困难。您不希望用户能够暴力破解其他令牌。

EDIT:

当您构建此系统时，您可能会发现这些其他问题/答案很有帮助：

1. 有关创建和使用令牌的详细信息（不一定是适用的 REST 服务）：REST Web 服务身份验证令牌实施 https://stackoverflow.com/questions/15490265/rest-web-service-authentication-token-implementation/15490642#15490642

2. 创建好的令牌（不要使用 microtime）：使用 microtime() 生成密码重置令牌是不好的做法 https://stackoverflow.com/questions/15527706/is-using-microtime-to-generate-password-reset-tokens-bad-practice/15530476#15530476