PHP持久化用户登录状态：通过Cookie实现“记住我”功能

<?php
// 假设用户成功登录，并获取到用户ID $userId
$userId = 123; // 示例用户ID

// 1. 生成一个安全的持久化令牌
// 推荐使用 cryptographically secure pseudo-random number generator (CSPRNG)
$rememberToken = bin2hex(random_bytes(32)); // 生成一个随机的64字符令牌

// 2. 将令牌与用户ID关联存储到数据库中
// 在数据库中创建一个表，例如 `remember_tokens`，包含 `user_id`, `token`, `expires_at`
// 示例（伪代码）：
// $expiresAt = date('Y-m-d H:i:s', time() + (10 * 365 * 24 * 60 * 60));
// $db->query("INSERT INTO remember_tokens (user_id, token, expires_at) VALUES (?, ?, ?)", [$userId, $rememberToken, $expiresAt]);

// 3. 设置一个有效期为10年的Cookie
// 参数：名称, 值, 过期时间, 路径, 域名, 是否安全(HTTPS), 是否HTTPOnly
setcookie(
    "remember_me_token", // Cookie名称
    $rememberToken,      // Cookie值
    time() + (10 * 365 * 24 * 60 * 60), // 10年后的时间戳
    "/",                 // Cookie对整个网站有效
    "",                  // 留空表示当前域名
    true,                // 生产环境强烈建议设置为 true (Cookie只通过HTTPS发送)
    true                 // 建议设置为 true，防止客户端脚本（JS）访问Cookie，降低XSS风险
);

// 重定向到用户主页
header("Location: dashboard.php");
exit();
?>

<?php
// 假设在每个页面加载的头部或一个公共函数中执行此逻辑
if (isset($_COOKIE['remember_me_token'])) {
    $currentRememberToken = $_COOKIE['remember_me_token'];

    // 1. 验证令牌的有效性（与数据库中的记录进行比对）
    // 示例（伪代码）：
    // $stmt = $db->prepare("SELECT user_id FROM remember_tokens WHERE token = ? AND expires_at > NOW()");
    // $stmt->execute([$currentRememberToken]);
    // $userIdFromDb = $stmt->fetchColumn();

    if ($userIdFromDb) {
        // 2. 如果令牌有效，则更新其在数据库中的过期时间
        // 示例（伪代码）：
        // $newExpiresAt = date('Y-m-d H:i:s', time() + (10 * 365 * 24 * 60 * 60));
        // $db->query("UPDATE remember_tokens SET expires_at = ? WHERE token = ?", [$newExpiresAt, $currentRememberToken]);

        // 3. 重新设置Cookie，延长其有效期
        setcookie(
            "remember_me_token",
            $currentRememberToken,
            time() + (10 * 365 * 24 * 60 * 60), // 再次延长10年
            "/", "", true, true
        );
    }
    // 如果令牌无效，可以考虑清除Cookie，但通常在自动登录逻辑中处理
}
?>

<?php
session_start(); // 确保会话已启动

// 如果用户当前没有登录会话
if (!isset($_SESSION['user_id'])) {
    if (isset($_COOKIE['remember_me_token'])) {
        $rememberToken = $_COOKIE['remember_me_token'];

        // 1. 在数据库中查找与此令牌匹配的用户，并检查令牌是否过期
        // 示例（伪代码）：
        // $stmt = $db->prepare("SELECT user_id FROM remember_tokens WHERE token = ? AND expires_at > NOW()");
        // $stmt->execute([$rememberToken]);
        // $userIdFromDb = $stmt->fetchColumn();

        if ($userIdFromDb) {
            // 2. 令牌有效，自动登录用户
            $_SESSION['user_id'] = $userIdFromDb;
            // 可以根据 $userIdFromDb 从数据库加载更多用户信息到会话中
            // $_SESSION['username'] = $usernameFromDb;

            // 3. 重新设置Cookie，延长其有效期（推荐）
            setcookie(
                "remember_me_token",
                $rememberToken,
                time() + (10 * 365 * 24 * 60 * 60),
                "/", "", true, true
            );

            // 成功自动登录，可以重定向到用户主页或继续加载当前页面
            // header("Location: dashboard.php"); // 如果需要重定向
            // exit();
        } else {
            // 4. 令牌无效或已过期，清除Cookie并重定向到登录页
            setcookie("remember_me_token", "", time() - 3600, "/", "", true, true); // 将过期时间设为过去
            header("Location: login.php");
            exit();
        }
    } else {
        // 没有持久化Cookie，如果需要强制登录，则重定向到登录页
        // header("Location: login.php");
        // exit();
    }
}
?>

<?php
session_start();

// 1. 销毁所有会话数据
session_unset();
session_destroy();

// 2. 清除浏览器中的持久化Cookie
setcookie("remember_me_token", "", time() - 3600, "/", "", true, true); // 将过期时间设为过去

// 3. （可选但推荐）使数据库中对应的持久化令牌失效
// 如果您在Cookie中存储的是令牌，并且数据库中有记录，则应删除或标记该令牌为无效。
// 示例（伪代码，假设您知道当前用户的令牌）：
// $tokenToDelete = $_COOKIE['remember_me_token']; // 假设在登出前能获取到
// $db->query("DELETE FROM remember_tokens WHERE token = ?", [$tokenToDelete]);

// 重定向到登录页或主页
header("Location: login.php");
exit();
?>