避免密码存储于客户端的“记住我”功能

在登录模块设计中，“记住我”功能通常用于方便用户无需重复输入凭据即可再次登录。然而，在实现这一功能时，必须谨慎处理安全问题，尤其是在密码存储方面。

许多文章建议在客户端生成包含用户名和密码的 Cookie。然而，这种做法存在重大安全风险。如果 Cookie 被劫持，攻击者可以轻松访问用户的凭据。此外，MVC 框架自身的 Identity 系统也未将密码存储于客户端，表明这种做法并不安全。

为了避免这些风险，建议采用以下方法实现“记住我”功能：

• 在登录时生成一个唯一的令牌（非会话 ID），并将其存储在用户浏览器中。
• 将此令牌与用户 IP 地址和/或其他信息一起存储在服务器端，用于后续登录验证。
• 当用户再次访问时，验证客户端提供的令牌与服务器端记录的信息是否匹配。如果匹配，则允许用户无需输入凭据即可登录。