好像不止一年，是一年半了。

回复#25 @arvin :

用户的Salt是在数据库里的，注册时随机生成的一串整数。

你读取出来就可以了。

回复#23 @arvin :

你在.htaccess里添加一条新的Rewrite规则就好了。

你需要Rewrite你的那个PHP，现在程序的设计，是不让url中出现.php的。

#19 @arvin :

common.php能不能 放过那个独立的php页面单独访问 不检测即可访问 要不然每次都会提示403

回复#1 @hulu :

我比较挑线路，还需要比较高的自由度。

打完这个Snapshot就Destroy，毕竟没钱了。

回复 #0 @agenge :

至少没https也不传输明文，还是有一点用的。

回复#17 @arvin :

HashEquals(md5($TempUserInfo['Password'] . $TempUserInfo['Salt'] . $CurUserExpirationTime . SALT), $CurUserCode)

反正现在Cookies的比对规则就长这样，能通过就是登录成功。

回复#12 @arvin :

就是比对数据库的数据，所有引用到的变量，你都可以一路查过去。

回复#10 @arvin :

写入的数据不对，就会重置。

如果你写入的数据是对的，那就是登录成功。

回复#6 @arvin :

如果你只想想要SetCookies的话，你用PHP原生函数设置即可。

回复#6 @arvin :

不会禁止。

回复#3 @arvin :

为什么单独页面写入不可用？

回复#3 @arvin :

我有个SetCookies函数来写入Cookies的。

include调用的。

回复 #0 @celery :

mp4可以直接上传播放，你可以在本地测试。

回复#24 @ivanilla :

没用，只有HTTPS有用。

前端MD5一次，至少不会在请求包中出现明文，这是唯一的目的。

回复#10 @ivanilla :

你搞错了，CF和Discuz! 的密码校验方式，是完全一样的。

回复#22 @ivanilla :

Hash不是加密。

你也可以看到你的提问的回答里有这么一句：

真正防止中间人除了HTTPS不要想别的

事实上也是如此。

至于重复提交，有验证码来着，而又一次性token，也无法避免Cookies被窃取。

这么做只是为了防止明文被直接窃取，真正要防止中间人，还是只有HTTPS。

回复#20 @ivanilla :

对，然而$Password本身就是MD5后的结果。

不信你可以直接

echo $Password;

第一次MD5在浏览器上完成——这是为了规避一些站长不上HTTPS导致的通信被窃取、密码明文泄露的问题。