Esta es una rama de la otra pregunta: What is the best way to implement "remember me" for a website?Permanecer conectado Mejores prácticas: ¿Cómo un nombre de usuario en la cookie lo hace más seguro?
La respuesta más común es poner en práctica lo siguiente: http://jaspan.com/improved_persistent_login_cookie_best_practice
Un resumen:
utilizar un número aleatorio como una muestra de la serie, y otro como un Token de inicio de sesión. Colóquelos en la cookie Permanecer conectado, junto con el nombre de usuario. Asigna una segunda cookie de sesión normal. Cada vez que un usuario llega al sin una cookie de sesión, consuma la cookie de permanecer conectado. Emita un nuevo , esta vez con un nuevo Token de inicio de sesión aleatorio, manteniendo el Token de la serie igual.
¿Por qué incluir el nombre de usuario? ¿Cómo está eso ayudando? El token de la serie debería ser suficiente para identificar al usuario y la serie. El token de la serie se agregó en este enfoque para evitar un ataque DoS en el que un atacante simplemente adivina todos los nombres de usuario y visita el sitio de una vez, desconectando a todos. Pero, ¿por qué tiene sentido dejar el nombre de usuario?
AFAICT incluyendo el nombre de usuario hace dos cosas. En primer lugar, dificulta el registro de inicios de sesión de DoS enviando Tokens de serie aleatorios. (El DoS solo tendrá éxito si adivinas un Token de serie válido y su nombre de usuario emparejado). En segundo lugar, el nombre de usuario defiende contra colisiones inocentes entre los Tokens de la Serie emitidos a diferentes usuarios. Sin el nombre de usuario, una colisión Token serie se vería como una indicación de robo. Por supuesto, si puede garantizar que cada Token de serie nuevo sea único entre todos los Tokens de serie emitidos con anterioridad válidos, entonces esto no es un problema. – ottomeister
Esto tiene más sentido hasta ahora. En un sistema muy distribuido donde comprobar la singularidad de los tokens de la serie no está funcionando, puedo ver por qué incluirías el nombre de usuario o, prefiero, un hash del nombre de usuario. Pero si los Tokens de la Serie son únicos, también pueden quitarle el nombre de usuario a posibles atacantes. –
¿No es mejor usar el ID de usuario en lugar del nombre de usuario debido al rendimiento de búsqueda entero versus cadena? – axelbrz