Cookieを使用しているときに、サーバーはユーザー情報をどのように知っていますか？

Question

私はユーザーのコンピュータにクッキーを保存し、彼が戻ってきたときに、彼がクッキーを持っているかどうかチェックして、そのページを安全なページにリダイレクトします（私はクッキーがコンピュータ上で偽造される可能性があるので、理論上の質問）

私はコンピュータに保存されているクッキーに基づいてユーザーをリダイレクトするだけなので、サーバーはどのようにすべてのユーザー情報/パスワードを知っていますか？

Answer 1

ファイルまたはデータベースに格納されている追加データにクッキーを関連付けます。

たとえば、ログイン時にusersテーブルにユーザーのレコードの横に挿入された、推測しにくいユニークなキーがCookieに含まれることがあります。コードはCookie値をチェックし、一致するユーザー。キーは定期的に変更する必要があります。

代わりに、サーバーに保存されているファイルにクッキーを関連付けるセッションを使用できます。セッション処理は、通常、オンラインストアのチェックアウトプロセスなど、より短い期間の活動のために予約される。

PHPは、セッション機能の多くを自動化できます。

http://www.php.net/manual/en/intro.session.php

あなたは技術のこれらの種類を使用する場合にセキュリティへの影響（セッションhighjacking）を研究したいと思います。

Answer 2

通常、サーバーはすべてのユーザーのセッションデータのコピーを保持し、一意のIDを与えます。 Cookie自体には、そのIDのコピーのみが保持されます。クッキーがサーバに提示され、session_startが呼び出されると、PHPはクッキー内のIDを使用して正しいセッションを復元します。