O problema é que o cookie está na máquina do visitante e está disponível facilmente e qualquer pessoa pode editá-lo.
Imagine a minha id é "Peter". Eu estou em seu site, com login. Vou dar uma olhdada no Cookie e ver lá dentro "id = Peter".
Eu vou perguntar um colega qual e seu id, ele vai me dizer que é (por exemplo) "maximo". Vou colocar um cookie com "id = maximo" e eu poderia me conector como ele.
Não é muito seguro ...
Isto requer que o cookie contém informações suficientes para que você saiba quem está conectado (não só o seu id, mas também outras informações que você pode misturar para verificar se eles são corretas, por exemplo id visitante, a sua idade, o seu CEP etc ...) e também que o cookie é criptografada.
A dificuldade é que você não pode ter uma criptografia assimétrica, porque você vai ter que ler o cookie para levar informações.
Portanto, você deve determinar o que precisa armazenar, preparar os dados como uma string, criptografar a string e colocar no cookie.
Após a leitura, você vai ter que decifrar o cookie e remover as "string" e verificar a integridade. Você pode, por exemplo criptografar de acordo com a data de apresentação do Cookie, a localização do visitante etc ... Então, se alguém consegui "quebrar" o cookie, ele também vai dever saber a localização geográfica de que ele quer usurpar identidade, que rapidamente se torna complicado.
Aqui está uma pequena classe de criptografia que pode ajudá-lo. Eu, obviamente, não pode mostrar-lhe o caminho completo que eu uso para criptografar meus cookies.
class Chiffrement
{
// Cipher:
// cast-128 gost rijndael-128 twofish arcfour cast-256 loki97 rijndael-192
// saferplus wake blowfish-compat des rijndael-256 serpent xtea blowfish
// enigma rc2 tripledes
// Modes:
// cbc cfb ctr ecb ncfb nofb ofb stream
private static $cipher = MCRYPT_RIJNDAEL_256; // Cipher
private static $mode = 'cbc'; // Mode (blocoss)
public static function crypt($data,$key)
{
$keyHash = md5($key);
$key = substr($keyHash, 0, mcrypt_get_key_size(self::$cipher, self::$mode) );
$iv = substr($keyHash, 0, mcrypt_get_block_size(self::$cipher, self::$mode) );
$data = mcrypt_encrypt(self::$cipher, $key, $data, self::$mode, $iv);
return base64_encode($data);
}
public static function decrypt($data,$key)
{
$keyHash = md5($key);
$key = substr($keyHash, 0, mcrypt_get_key_size(self::$cipher, self::$mode) );
$iv = substr($keyHash, 0, mcrypt_get_block_size(self::$cipher, self::$mode) );
$data = base64_decode($data);
return mcrypt_decrypt(self::$cipher, $key, $data, self::$mode, $iv);
}
}
Vou completar para responder no cometario: no caso dos base de dados, das sessaos, e muito dificil saber onde sao os dados. E de verdade, não importa. Se uma pessoa pode fazer uma injecçao SQL, ela não precisa saber "exatamente onde" são os dados: ela precisa saber como ler os dados. E suficiente.
Então, achar que tudo ta certo porque os dados não no servidor e uma brincadeira: o que precisa e proteger o aceso, então, evitar "dar a chave da casa". A dificuldade e que o visitante... deve ter a chave para acessar! Significa que a chave vai estar no navegador.
O problema maior e a ligaçao entre a chave e os dados e a pergunta principal e "como fazer para evitar a copia da chave e, pior, como evitar que uma pessao entende o sistema da chave para fazer uma copia igual o que parace igual".
Analisar os Cookie no seu navegador permite facilmente ver que tem que não são protegidos: vc vai var o seu id por exemplo. Com um software tipo https://chrome.google.com/webstore/detail/editthiscookie/fngmhnnpilhplaeedifhccceomclgfbg?hl=fr vc pode modificar os cookie.
Isso significa que precisa modificar o cookie para evitar a modificaçao, colocar mas que o Id, criar uma ligaçao entre os dados do cookie.
O objetivo jamais vai ser de colocar todas as info no cookie: o objetivo esta de impedir a modificaço do cookie e ter a capacidade, do lado do servidor, saber que a chave esta coreta. Depois, com uma chave coreta, ler os dados da BDD é facil.
console.log(StackExchange.options.user)