在PHP会话中存储用户密码是常见的吗?

你不需要这么做 验证 授权 每一个请求。

是根据数据库验证用户用户名/密码的地方。一旦他们成功认证, 您只需要在会话中存储他们的用户ID(或用户名)。

在随后的每个请求中,检查以确保当前会话是 查看请求的内容。在您的情况下,您可能只需要确保会话中有一个有效的用户ID。。。你不必对数据库做任何事。

function isAuthorized() {
    return isset($_SESSION['user_id']) && ($_SESSION['user_id'] != 0);
}

不要存储密码。相反,将一个身份验证令牌存储在一个单独的表中,您可以检查该令牌是否存在。

我不会将密码存储在会话中,您只需存储他们已登录到会话中的密码即可。

$_SESSION['uerlogged'] = $mytoken;

$_SESSION['userlogged'] 已设置。

PHP: Preventing Session Hijacking with token stored as a cookie?

在会话中实际上不需要存储密码。您应该有状态标志来显示它们当前是否经过身份验证,以及定义用户身份和用户信息的某种对象。

它将只作为存储的用户名工作,这就足够了(甚至一个标志也可以)。

用户不能修改会话,您只能在那里存储用户名,并相信它总是正确的。