PHP持久化用户登录会话管理教程

<?php
// 假设用户成功登录，并获取到用户ID或一个安全的登录令牌
$userId = 123; // 示例用户ID
$rememberMeToken = bin2hex(random_bytes(32)); // 生成一个安全的随机令牌

// 将令牌存储到数据库中，并与用户ID关联
// 例如：UPDATE users SET remember_token = '$rememberMeToken' WHERE id = $userId;

// 设置一个有效期为10年的Cookie
// 参数：名称, 值, 过期时间, 路径, 域名, 是否只通过HTTPS传输, 是否只允许HTTP协议访问
setcookie(
    "remember_me", // Cookie名称
    $rememberMeToken, // Cookie值，这里存储的是安全令牌
    time() + (10 * 365 * 24 * 60 * 60), // 10年后的时间戳
    "/", // Cookie在整个网站都可用
    "", // 默认当前域名
    true, // 建议在生产环境使用HTTPS，设置为true
    true // 建议设置为true，防止JavaScript访问Cookie，增加安全性
);

// 同时设置一个会话变量，用于当前会话的登录状态
$_SESSION['user_id'] = $userId;
?>

<?php
// 在每次页面加载时，如果用户已登录并通过remember_me Cookie验证，可以更新其有效期
if (isset($_COOKIE['remember_me']) && !isset($_SESSION['user_id'])) {
    // 假设通过remember_me Cookie验证用户身份成功
    $rememberMeToken = $_COOKIE['remember_me'];
    // ... 在数据库中查找与此令牌关联的用户ID ...
    $userId = 123; // 假设找到用户ID

    if ($userId) {
        // 重新设置Cookie，延长其有效期
        setcookie(
            "remember_me",
            $rememberMeToken,
            time() + (10 * 365 * 24 * 60 * 60),
            "/", "", true, true
        );
        // 重新设置会话变量，完成自动登录
        $_SESSION['user_id'] = $userId;
    } else {
        // 令牌无效，清除Cookie
        setcookie("remember_me", "", time() - 3600, "/", "", true, true);
    }
}
?>

<?php
session_start();

if (!isset($_SESSION['user_id'])) { // 如果会话中没有用户ID，尝试通过Cookie登录
    if (isset($_COOKIE['remember_me'])) {
        $rememberMeToken = $_COOKIE['remember_me'];

        // 1. 从数据库中查找与此令牌关联的用户信息
        // 示例：SELECT id, username FROM users WHERE remember_token = '$rememberMeToken'
        // 注意：这里需要对令牌进行安全处理，防止SQL注入
        $stmt = $pdo->prepare("SELECT id, username FROM users WHERE remember_token = :token");
        $stmt->execute([':token' => $rememberMeToken]);
        $user = $stmt->fetch(PDO::FETCH_ASSOC);

        if ($user) {
            // 2. 验证成功，将用户ID存储到会话中，完成自动登录
            $_SESSION['user_id'] = $user['id'];
            $_SESSION['username'] = $user['username'];

            // 3. (可选但推荐) 重新生成一个新的令牌并更新Cookie和数据库
            // 增加安全性，防止令牌被盗用后长时间有效
            $newToken = bin2hex(random_bytes(32));
            $updateStmt = $pdo->prepare("UPDATE users SET remember_token = :new_token WHERE id = :user_id");
            $updateStmt->execute([':new_token' => $newToken, ':user_id' => $user['id']]);

            setcookie(
                "remember_me",
                $newToken,
                time() + (10 * 365 * 24 * 60 * 60),
                "/", "", true, true
            );

            // 登录成功，可以重定向到用户主页或其他页面
            // header("Location: dashboard.php");
            // exit();
        } else {
            // 令牌无效或已过期，清除Cookie
            setcookie("remember_me", "", time() - 3600, "/", "", true, true);
            // 可以重定向到登录页面
            // header("Location: login.php");
            // exit();
        }
    } else {
        // 没有持久化Cookie，用户未登录，可以重定向到登录页面
        // header("Location: login.php");
        // exit();
    }
}
?>

<?php
session_start();

// 1. 销毁服务器端会话
$_SESSION = array(); // 清空所有会话变量
if (ini_get("session.use_cookies")) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params["path"], $params["domain"],
        $params["secure"], $params["httponly"]
    );
}
session_destroy();

// 2. 清除客户端的持久化Cookie
setcookie("remember_me", "", time() - 3600, "/", "", true, true);

// 3. (重要) 使数据库中对应的令牌失效
// 假设用户ID可以从会话或某个安全渠道获取
$userId = 123; // 示例用户ID
$stmt = $pdo->prepare("UPDATE users SET remember_token = NULL WHERE id = :user_id");
$stmt->execute([':user_id' => $userId]);

// 重定向到登录页面或首页
header("Location: login.php");
exit();
?>