CodeIgniter 3.1.8应用Bug排查：未勾选「记住我」时登录凭证仍被保留

你的核心问题出在Cookie的处理逻辑错误，后续修改会话配置只是掩盖了表面现象，并没有解决根本问题。让我一步步拆解：

1. 为什么未勾选「记住我」仍会记住凭证？ #

你当前清空Cookie的写法是错误的：

setcookie ('userEmail', '');
setcookie ('userPassword','');

这种写法只是把Cookie的值设为空，但并没有设置过期时间为过去的时间，也没有指定Cookie的路径（比如根路径/）。浏览器会继续保留这个空值的Cookie，若之前已经勾选过「记住我」，旧的有效Cookie甚至还会留在浏览器中，导致登录凭证被“记住”。

2. 修改sess_expiration为什么会“解决”问题？ #

把$config['sess_expiration'] = 7200改成0，只是让CodeIgniter的会话变成随浏览器关闭而失效，但这和「记住我」的Cookie功能是完全独立的模块。你觉得问题消失只是巧合——可能是测试时浏览器关闭后会话失效，或者缓存的Cookie被清理，但这并没有修复Cookie处理的逻辑错误。

正确的修复步骤 #

第一步：修正Cookie的读写逻辑 #

在Login.php控制器中，正确设置和删除Cookie，确保参数一致（尤其是路径和过期时间）：

// Remember me
if (!empty($this->input->post('remember_me'))) {
    // 设置Cookie，指定根路径确保全站有效，有效期7天
    $cookie_expire = time() + (7 * 24 * 3600);
    setcookie('userEmail', $email, $cookie_expire, '/');
    // 注意：这里直接存明文密码非常不安全！后面会说替代方案
    setcookie('userPassword', $password, $cookie_expire, '/');
} else {
    // 正确删除Cookie：设置过期时间为过去，匹配路径
    setcookie('userEmail', '', time() - 3600, '/');
    setcookie('userPassword', '', time() - 3600, '/');
}

第二步：解决明文密码存Cookie的安全问题 #

直接把用户密码存在Cookie里是高危操作——Cookie存储在客户端，很容易被窃取或篡改。推荐的替代方案：

1. 在用户表中新增一个remember_token字段（字符串类型，长度建议64）
2. 当用户勾选「记住我」时，生成一个随机的加密令牌（比如用random_bytes(32)转成十六进制）
3. 将令牌存储到数据库的remember_token字段，同时把user_id和令牌存在Cookie中
4. 下次用户访问登录页时，检查Cookie中的user_id和令牌，和数据库中的记录匹配，匹配成功则自动登录

示例代码片段（简化版）：

// 当勾选记住我时
if (!empty($this->input->post('remember_me'))) {
    $token = bin2hex(random_bytes(32));
    // 更新用户表的remember_token
    $this->Usermodel->update_remember_token($current_user->id, $token);
    // 存Cookie：只存用户ID和令牌，不存密码
    $cookie_expire = time() + (7 * 24 * 3600);
    setcookie('user_id', $current_user->id, $cookie_expire, '/');
    setcookie('remember_token', $token, $cookie_expire, '/');
} else {
    // 清空Cookie和数据库中的令牌
    $this->Usermodel->update_remember_token($current_user->id, null);
    setcookie('user_id', '', time() - 3600, '/');
    setcookie('remember_token', '', time() - 3600, '/');
}

之后在登录页的视图中，不再读取密码Cookie，而是通过Cookie中的令牌自动完成登录校验（如果存在且有效）。

总结 #

你的初始错误是未正确删除Cookie，导致旧的凭证Cookie残留；修改会话配置只是临时掩盖了问题，不是根本解决方案。同时一定要注意Cookie存储的安全性，避免直接存储敏感信息。

内容的提问来源于stack exchange，提问作者Razvan Zamfir