PHP技术疑问：如何将查询变量存入Cookie及完善Session登录功能

嘿，我看你已经搞定了基于Session的登录，现在想扩展Cookie持久化的功能，核心问题应该是如何安全地把数据库查询到的用户数据存入Cookie，以及后续怎么验证Cookie有效性对吧？我来一步步帮你捋清楚：

1. 先获取完整的用户数据 #

你的代码里已经通过查询拿到了用户记录，但还需要把结果转换成PHP数组才能操作，先补上这一步：

if (mysqli_num_rows($results) == 1) {
    // 把查询结果转成关联数组，方便后续操作
    $user = mysqli_fetch_assoc($results);
    
    // 这里开始处理Cookie逻辑
}

2. 安全地将用户数据存入Cookie #

⚠️ 重点提醒：绝对不要直接把敏感信息（比如密码、哈希值）塞进Cookie！Cookie存在客户端，很容易被窃取或篡改，我们只存必要的非敏感标识，并且一定要加密防止篡改。

方案一：存加密后的用户标识（最推荐） #

只存userid这类唯一标识，用密钥加密后存入Cookie，下次请求时解密再查库验证：

// 自己设置一个复杂的加密密钥（别泄露，最好存在环境变量里）
$secret_key = 'your_super_complex_secret_key_123!@#';

// 准备要存入Cookie的极简数据
$cookie_data = [
    'userid' => $user['userid']
];

// 序列化+加密数据，防止篡改
$serialized_data = serialize($cookie_data);
// 用AES-256-CBC加密，偏移量用密钥的前16位
$encrypted_data = openssl_encrypt($serialized_data, 'AES-256-CBC', $secret_key, 0, substr(hash('sha256', $secret_key), 0, 16));

// 设置Cookie：过期时间设为7天（可调整），开启安全参数
setcookie(
    'remember_me',
    $encrypted_data,
    time() + 7 * 24 * 60 * 60, // 7天后自动过期
    '/', // 全站有效
    '', // 域名，根据你的网站配置填写
    true, // secure：仅HTTPS环境下发送Cookie
    true // httponly：禁止JS读取，防范XSS攻击
);

方案二：如果需要存更多非敏感数据（比如用户名） #

可以把数据转成JSON再加密，比如：

$cookie_data = [
    'userid' => $user['userid'],
    'username' => $user['username']
];
$json_data = json_encode($cookie_data);
$encrypted_data = openssl_encrypt($json_data, 'AES-256-CBC', $secret_key, 0, substr(hash('sha256', $secret_key), 0, 16));
// 然后按上面的方式设置Cookie即可

3. 后续请求验证Cookie有效性 #

用户下次访问时，需要读取Cookie并验证合法性：

if (isset($_COOKIE['remember_me'])) {
    $secret_key = 'your_super_complex_secret_key_123!@#';
    $encrypted_data = $_COOKIE['remember_me'];
    
    // 解密数据
    $decrypted_data = openssl_decrypt($encrypted_data, 'AES-256-CBC', $secret_key, 0, substr(hash('sha256', $secret_key), 0, 16));
    $cookie_data = unserialize($decrypted_data); // 如果用JSON就用json_decode($decrypted_data, true)
    
    // 用预处理语句验证用户是否存在，防止SQL注入！
    $query = "SELECT * FROM users WHERE userid = ?";
    $stmt = mysqli_prepare($db, $query);
    mysqli_stmt_bind_param($stmt, 'i', $cookie_data['userid']);
    mysqli_stmt_execute($stmt);
    $result = mysqli_stmt_get_result($stmt);
    
    if (mysqli_num_rows($result) == 1) {
        $user = mysqli_fetch_assoc($result);
        // 验证通过，初始化Session或者直接使用用户数据
        $_SESSION['user'] = $user;
    } else {
        // Cookie无效，立即清除
        setcookie('remember_me', '', time() - 3600, '/');
    }
}

4. 关于你代码里的$secondQuery #

我看到你写了$secondQuery = "SELECT * FROM users WHERE userid='$emptyUserid' AND hash='$emptyHash'";，看起来像是想做“记住我”的哈希验证？如果是这样，建议单独在数据库加一个remember_token字段：

• 用户勾选“记住我”时，生成一个随机哈希存入数据库和Cookie（加密后）
• 验证时查询数据库是否存在对应userid和remember_token的记录
• 这样即使Cookie被窃取，也只能用一次（用户下次登录可以更新token）

示例代码：

// 生成随机哈希token
$remember_token = bin2hex(random_bytes(32));
// 更新数据库里的token
$query = "UPDATE users SET remember_token = ? WHERE userid = ?";
$stmt = mysqli_prepare($db, $query);
mysqli_stmt_bind_param($stmt, 'si', $remember_token, $user['userid']);
mysqli_stmt_execute($stmt);
// 将userid和token加密后存入Cookie
$cookie_data = [
    'userid' => $user['userid'],
    'token' => $remember_token
];
// 加密并存入Cookie...

额外安全提醒 #

• 绝对不要直接把变量拼进SQL语句！一定要用预处理语句（mysqli_prepare）防止SQL注入，你的原始代码里的写法风险很高。
• Cookie的httponly和secure参数必须开启，防范XSS和明文传输窃取。
• 加密密钥要足够复杂，别硬编码在代码里，最好存在服务器环境变量中。

内容的提问来源于stack exchange，提问作者InterstingJavaLearner