Session - setcookie() Ja oder Nein?

[Ardaric]

Ich frage mich gerade, ob statt eines Session-Cookies mit einem richtigen Cookie arbeiten soll. Ich möchte ein Loginscript schreiben, bei dem man wahlweise auch eingeloggt bleiben kann. (Wie auch hier in diesem Forum halt).

Wie gehe ich am besten vor?

Speichere ich die ID des benutzers in der Session sage dem Session-Cookie, dass es x Sekunden (Ein Jahr) gültig bleibnen soll.

Oder soll ich ein setcookie(für ein Jahr) setzen und alle Variablen in diesem Cookie, statt in der Session speichern? (Also das Session-Cookie gar nicht mehr benutzen)

Gibt es noch andere (bessere) Möglichkeiten?



Thema Sicherheit:
Ich würde dann noch die IP im (Session-)Cookie speichern und diese dann bei jedem Seitenaufbau mit der Client-IP vergleichen, damit der Cookie nicht geklaut werden kann. Oder kann man die IPs in der Session von außen manipulieren?

 

[Gumbo]

Sitzungs-Cookies haben meist nur eine sehr begrenzte Lebensdauer, sodass sie beim Fensterschließen gelöscht werden. (Siehe session.cookie_lifetime-Konfigurationsoption)

 

[Ardaric]

Bei Cookies ist das aber nicht anders.

Ich kann per setcookie(time()+ 60*60*24) sagen, dass der Cookie einen Tag lang gültig bleiben soll.
Per session_set_cookie_params (60*60*24) sagen, dass der Session-Cookie einen Tag lang gültig bleiben soll.