Ответ

dmx102 20.11.2013 13:16 / 20.11.2013 13:17

Т.е. надо и на сервере хранить значения куки? Или как? Теоретически кука - это та же комбинация логи-пароль, только исковерканная разработчиком по своему усмотрению. И для идентификации пользователя надо либо каждый раз передавать логин-пароль, либо чтото хранить на сервере с чем сравнивать.

Сессионная кука как раз таки и создана, для того, чтобы не передавать никакие личные данные, и не устраивать авторизацию каждый раз при каждом запросе.

После успешной проверки авторизации происходит создание случайного хеша и сохранение его у вас в базе или хешфайле с привязкой к к идентификатору пользователя и отправкой этого хеша в виде куки.

Еще более строгой защитой может так же являться привязка не просто куки к идентификатору пользователя, а ip-адрес клиента + кука для получения идентификатора клиента.

В идеале, если вы не используете HTTPS постоянно, то делать авторизацию через HTTPS, а далее выдавать простую http-куку для последующей проверки получения идентификатора пользователя.

---