使用COOKIE实现登录 VS 使用SESSION实现登录

注：本文使用的代码基于PHP，其他语言逻辑同理。

一：使用COOKIE实现登录验证

使用cookie实现登录的方式，主要通过一些单向的加密信息进行验证。比如admin用户登录了之后，服务端生成一个cookie值：admin_1533006028_ bbf2c2b1ec5cfb62d0a30438d8d0305c ，这个cookie值包含用户名，cookie到期时间和一个信息签名。签名的信息为 ”用户名_用户密码_cookie到期时间_盐” 比如：md5(”admin_1533006028_123456_salt123”)。这样用户每次访问，只要获取到这个cookie值，然后验证cookie到期时间和签名。就可以判断该用户是否已登录。

首先看看下面cookie登录的实例代码：

<?php

class Login
{
   //登录
   public function login($account,$password)
   {
        $lifetime = time()+3600;
        $model = new Model();
        $pwd = md5($password);
        $userInfo = $model->db->getOne(array(‘username’=>$username,’password’=>$pwd);
        if($userInfo){
           $cookie =$this->user2cookie($userInfo, $lifetime);
           setcookie('account', $cookie, $lifetime);
           return true;
        }else{
            return false;
        }
    }
 
    //验证登录
    public static function isLogin()
    {
        $cookie = $_COOKIE['account'];
        $re = $this->cookie2user($cookie);
        return $re;
    }

    //根据cookie判断一个用户是否合法的登录用户
    public function cookie2user($cookie)
    {
         if(empty($cookie)) return false;
         list($username,$lifetime,$token) = explode('_',$cookie);
         //cookie过期或者cookie1分钟内过期
         if($lifetime < (time()+60)) return false;
         $model = new Model();
         //获取缓存中的用户信息
         $userInfo = $model->redis->get($username);
         if(!$userInfo){
              $userInfo = $model->db->getOne(array(‘username’=>$username));
         }else{
              $userInfo = parse_url($userInfo);
         }
         if(!$userInfo){
                  return false;
         }

         //验证token值
        $str = $username.$userInfo['password'].$lifetime.$userInfo[‘salt’];
        if($token !== md5($str)) return false;
        $val = http_build_query($userInfo , '' , '&');
        //将用户信息设置到缓存中,键值生命周期为1小时。
        $model->redis->set($username,$val,3600);
        return true;   
    }

    //生成验证用户登录的cookie值
    public function user2cookie($user,$lifetime)
    {
        $str = $user['username'].$user['password'].$lifetime.$user[‘salt’];
        $token = md5($str);
        $re = $user['username'].'_'.$lifetime.'_'.$token;
        return $re;
    }
}
?>        

cookie的登录流程: 首先通过Login() 函数验证用户提交的用户名和密码,如果验证通过则将相关信息写入cookie, 后面使用isLogin() 函数对用户的每次访问进行验证，验证的方式也是通过该用户的cookie。验证通过则说明该用户已经登录,否则说明该用户没有登录。跳转到登录页面。

这里重点讲下Login类的两个关键函数cookie2user和user2cookie：

1、  cookie2user根据cookie判断一个用户是否合法的登录用户，即用户每次访问，都会通过isLogin函数验证该用户是否已经登录。验证方式就是获取到用户此次访问的cookie值，然后将验证cookie值里的token（签名信息）值。验证通过，说明该用户是已经登录的，否则就是为登录或者不存在该用户。

2、  user2cookie用于生成验证用户登录的cookie值。如前文所述，该cookie值包含用户名、cookie生存时间和token值。这里关键就是这个token值的生成方式，要注意判断登录的时候生成token值的方式要与此函数生成token值的方式一致。比如这里是将用户名，用户密码，cookie生存时间和盐进行连接并取md5值。当然加密方法也可以不用md5，也可以使用sha1等。

二、使用SESSION实现登录验证

由于session的信息是保留在服务端的，所以用户登录户的信息保存在服务，所以无需像cookie登录的那样将信息进行单向加密。

session登录的示例代码：

<?php

class Login
{
   //登录
   public function  login($account,$password)
   {
        $model = new Model();
        $pwd = md5($password);
        $userInfo = $model->db->getOne(array(‘username’=>$username,’password’=>$pwd);
        if($userInfo){
           $_SESSION[‘account’] = $userInfo;
           return true;
        }else{
            return false;
        }
    }

 
    //验证登录
    public static function isLogin()
    {
         if(isset($_SESSION['account'])){
                return true;
         }else{
                return false;
         }
    }

}

?>    

session的登录流程：首先用户提交的用户名和密码提交到Login() 方法进行验证,如果验证通过则将信息写入session,后面每次访问都会去取该用户的session信息。如果不存在该用户的SESSION信息，则说明该用户还没有登录，跳转到登录页面。已经登录了的用户每次访问，都会通过isLogin() 函数进行验证。验证不通过说明登录过期或者没有登录，则跳转到登录页面。

两种方式都是通过isLogin() 方法来验证用户是否已经登陆的了。该方法一般在程序的入口处进行Login::isLogin() 调用，从而对所有的访问进行验证。

三、两种方式的异同点

除了上文已经简述的之外，这里先介绍下PHP里面处理SESSION的机制。

PHP在调用seesion_start() 函数之后会生成一个字符串（一般是某些不重复的哈希值）。这个字符串就是session_id，当然这个值也可以自行调用函数session_id(‘指定的session_id 值’)进行构建，需要注意的是，session_id()函数必须在session_start() 函数之前先调用。只有调用了session_start() 函数，才会产生相应的session文件和cookie值。

具体过程如下：

1、客户端(浏览器)首次访问时，这里默认开启了session_start() 函数的，此时PHP会随机生成一个不重复的cookie(即session_id,这里假如生成ug9gch0ns7nql4gjoe3jckdab2)值。

 

2、服务端会生成一个session文件默认文件名为’SESS_’.session_id，即：SESS_ ug9gch0ns7nql4gjoe3jckdab2 文件。文件的保存路径默认在php.ini的session.save_path设置的路径中，例如linux系统中默认为/var/lib/php/sessions目录。（注意：此时SESS_ ug9gch0ns7nql4gjoe3jckdab2文件是个空文件，因为服务端还没有信息存入SESSION中，具体看第4步）

 

3、然后将生成的 ug9gch0ns7nql4gjoe3jckdab2 设置到cookie里，cookie键名默认是php.ini里设置的session.name配置项，默认是：session.name=PHPSESSID;相当于执行了$_COOKIE[‘PHPSESSID’]= ug9gch0ns7nql4gjoe3jckdab2；用户此次访问的http响应头部信息里就会包含：

Set-Cookie: PHPSESSID=ug9gch0ns7nql4gjoe3jckdab2; path=/

相应的cookie信息就会保存到客户端。

 

4、用户在登录界面输入用户名和密码并提交。此时浏览器会将用户名和密码和cookie值等信息提交到服务端。此时http请求的头部信息会包含：Cookie:PHPSESSID=ug9gch0ns7nql4gjoe3jckdab2

 

5、当数据到达服务端，PHP会根据cookie内容找到session文件SESS_ ug9gch0ns7nql4gjoe3jckdab2 并将该文件读入$_SESSION 变量。然后验证用户名和密码。验证通过了。就将该用户的相关信息，比如用户名、系统权限等写入到$_SESSION 变量中。cookie没有改变。脚本执行结束时，$_SESSION变量的值会被序列化后写入SESS_ ug9gch0ns7nql4gjoe3jckdab2 文件。

验证不通过，则跳转回登录页，cookie没有改变，$_SESSION也没有新增值。

 

6、如果用户完成登录进入系统了，以后每访问一个页面，系统会获取该客户端浏览器传过来的cookie值，然后根据cookie值获取到对应的session文件，读取session文件并解序列化写入到内存中即$_SESSION变量中。接着服务端系统接口处会验证该$_SESSON文件中是否有之前设置的用户信息，如用户名和系统权限等。如果有，则说明该用户已经登录，如果没有，则说明该用户登录过期或者未登录，跳转到登录页面。

使用cookie来实现登录就不会再使用到session了。如文章开头所述，cookie实现登录需要将用户的信息进行单向加密。然后通过验证该密文确认用户是否已经登录。也许大家会感觉使用session验证登录的步骤比cookie的简单许多。其实只是需要我们处理的步骤比较少而已，有一部分是语言编译器内部实现的。比如session文件的生成匹配。所以到我们自己操作的步骤就会相对较少。cookie实现登录主要依靠单向加密验证，比如用户登录时对”用户名+用户密码+cookie过期时间+盐”这些信息进行md5签名，然后将该签名放到cookie中，当然cookie值还包含用户名和cookie值的过期时间，比如：admin_1533006028_ bbf2c2b1ec5cfb62d0a30438d8d0305c。后面用户每次访问都获取到这个cookie值，拆分后根据用户名和cookie值的过期时间，加上从数据库获取的用户密码和盐值，进行md5签名，然后对两步签名进行比对，如果一致，则说明是已登录的用户。

由于用户每次访问都要验证cookie里的签名，也就是每次都要获取用户密码和盐值。一般这些信息都是存在数据库中。所以使用cookie实现登录，会对数据库的用户表造成极大的压力。而session方式则不存在这个问题，因为session是存在文件中，用户每次访问，PHP会将该用户对应的session文件读入内存。然后再去访问$_SESSION变量获取。但是session这样处理的缺点是，当用户量特别多的时候，每个用户都会产生一个session文件，这意味着服务器的压力倍增。就算做分布式，也还要处理session的集群。

当然，session也可以写入数据库，或者写入缓存。如果session写入数据库，那么又回到刚才cookie每次访问都要查询数据库的问题了。如果是写入缓存，倒也是权宜之计。如果在使用cookie登录的步骤中将用户信息写入缓存，那么这种方式也可以减缓数据库的压力。每次验证时如果缓存中没有再去查询数据库。这样也不失为一个可行之计。

当然，也可以对用户表进行分表并作一主库多从库处理。在大用户量情况下，单使用数据库，应该也能支撑吧。