PHP中结合Google OAuth 2.0使用Cookie实现持久登录的最佳实践

嘿，很高兴你已经顺利搞定Google OAuth2的基础登录功能！关于用Cookie实现安全持久登录的需求，我之前做过类似的项目，给你整理一套经过实践验证的方案，帮你避开常见的安全坑：

1. 绝不直接存储Google的Refresh Token #

Google返回的refresh_token权限极高，一旦泄露攻击者就能完全接管用户的Google账号，绝对不能把它存在Cookie里！你需要自己生成独立的持久登录令牌：

• 用PHP的random_bytes(32)生成足够长度的随机字符串（转成base64方便存储），作为用户的持久登录令牌。
• 存储令牌时，必须存哈希值（用password_hash()，这是慢哈希算法，能有效抵御暴力破解），绝对不能存明文！把哈希值和用户ID、过期时间、用户代理、IP等信息存在专门的会话表（比如user_persistent_sessions）里。

2. 配置安全到极致的Cookie属性 #

Cookie的安全配置是核心，一定要开启这些属性：

• HttpOnly：禁止前端JavaScript读取Cookie，彻底避免XSS攻击窃取令牌。
• Secure：只在HTTPS连接下才发送Cookie，明文HTTP环境下不会传输，防止中间人劫持。
• SameSite=Strict（或Lax）：阻止跨站请求携带Cookie，有效防范CSRF攻击。
• 合理的过期时间：比如设置30天，不要设成永久有效，定期强制用户重新验证。
• 限制Path范围：如果只有全站需要，设为/；如果只是特定路径，缩小范围更安全。

3. 令牌验证与轮换逻辑 #

用户每次访问需要登录的页面时，执行以下验证流程：

1. 从Cookie中取出持久令牌，在数据库中查找对应的哈希记录。
2. 用password_verify()验证令牌和哈希是否匹配，同时检查令牌是否过期。
3. 可选：验证用户代理、IP是否和创建令牌时一致（增加安全层，但注意用户IP可能会变动，比如移动网络切换，不要过于严格）。
4. 验证通过后，自动创建PHP会话（设置$_SESSION['user_id']），无需跳转Google登录。
5. 实现令牌轮换：每次验证成功后，生成新的持久令牌，替换数据库里的旧哈希，同时更新Cookie中的令牌。这样就算旧令牌泄露，很快就会失效，降低风险。

4. 完善的失效与注销机制 #

• 注销功能：用户点击注销时，不仅销毁当前PHP会话，还要删除数据库中对应的持久令牌记录，同时清空Cookie（设置Max-Age=0）。
• 定期清理：用Cron任务每天删除数据库里过期的会话记录，避免数据冗余。
• 异常处理：如果检测到令牌多次验证失败，或者用户代理/IP突变，直接失效该令牌，强制用户重新登录。

5. 额外安全加固 #

• 不要在Cookie里存储任何敏感信息（比如用户ID、邮箱），所有用户信息都通过令牌关联从数据库查询。
• 优化PHP会话设置：在php.ini里开启session.cookie_httponly = On、session.cookie_secure = On、session.use_strict_mode = On。
• 及时更新依赖：定期更新你使用的Google OAuth2 SDK，修复已知的安全漏洞。

生成并存储持久令牌 #

// 生成32字节的随机令牌，转base64便于存储
$persistentToken = base64_encode(random_bytes(32));
// 哈希令牌（用默认的bcrypt算法）
$tokenHash = password_hash($persistentToken, PASSWORD_DEFAULT);

// 插入到数据库会话表
$pdo = new PDO('mysql:host=localhost;dbname=your_db', 'user', 'pass');
$stmt = $pdo->prepare("INSERT INTO user_persistent_sessions 
    (user_id, token_hash, expires_at, user_agent, ip) 
    VALUES (?, ?, DATE_ADD(NOW(), INTERVAL 30 DAY), ?, ?)");
$stmt->execute([
    $userId, // 已通过Google OAuth获取的用户ID
    $tokenHash,
    $_SERVER['HTTP_USER_AGENT'],
    $_SERVER['REMOTE_ADDR']
]);

// 设置安全Cookie
setcookie(
    'persistent_login',
    $persistentToken,
    [
        'expires' => time() + 30 * 86400, // 30天有效期
        'path' => '/',
        'domain' => $_SERVER['HTTP_HOST'],
        'secure' => true,
        'httponly' => true,
        'samesite' => 'Strict'
    ]
);

验证持久令牌并自动登录 #

session_start();

if (!isset($_SESSION['user_id']) && isset($_COOKIE['persistent_login'])) {
    $token = $_COOKIE['persistent_login'];
    $pdo = new PDO('mysql:host=localhost;dbname=your_db', 'user', 'pass');
    
    // 查询有效的会话记录
    $stmt = $pdo->prepare("SELECT * FROM user_persistent_sessions 
        WHERE token_hash = ? AND expires_at > NOW()");
    $stmt->execute([$token]);
    $session = $stmt->fetch(PDO::FETCH_ASSOC);
    
    if ($session && password_verify($token, $session['token_hash'])) {
        // 验证成功，创建会话
        $_SESSION['user_id'] = $session['user_id'];
        
        // 令牌轮换：生成新令牌并更新
        $newToken = base64_encode(random_bytes(32));
        $newTokenHash = password_hash($newToken, PASSWORD_DEFAULT);
        
        $updateStmt = $pdo->prepare("UPDATE user_persistent_sessions 
            SET token_hash = ?, expires_at = DATE_ADD(NOW(), INTERVAL 30 DAY) 
            WHERE id = ?");
        $updateStmt->execute([$newTokenHash, $session['id']]);
        
        // 更新Cookie
        setcookie(
            'persistent_login',
            $newToken,
            [
                'expires' => time() + 30 * 86400,
                'path' => '/',
                'domain' => $_SERVER['HTTP_HOST'],
                'secure' => true,
                'httponly' => true,
                'samesite' => 'Strict'
            ]
        );
    } else {
        // 令牌无效，清空Cookie
        setcookie('persistent_login', '', [
            'expires' => time() - 3600,
            'path' => '/',
            'secure' => true,
            'httponly' => true,
            'samesite' => 'Strict'
        ]);
    }
}

按照这套方案来，基本能覆盖XSS、CSRF、令牌泄露等常见安全风险。如果有特定场景的疑问（比如多设备登录管理），可以再深入讨论~

内容的提问来源于stack exchange，提问作者UVC100