Как лучше всего аутентифицировать пользователя?

Question

[HoHsi]

Каким образом лучше аутентифицировать пользователя и какие методы для построения Cookie токена лучше использовать? Из чего этот куки строить?

Насколько хороши следующие варианты:
* Примешивание соли в куки, которая так же пишется в базу и генерируется при авторизации.
* Привязка куки к IP пользователя, который так же пишется в базу.
* Куки как конкатинация "логин + разделтель + хеш пароля"
* Генерация случайного токена и запись его в базу

Answer 1

[Alex Kheben]

Есть готовые решения для авторизации: Passport, например.
И как вы куку собираетесь к IP адресу пользователя привязывать? Используйте JWT и будет вам счастье, с ним о таких мелочах думать не надо.
И причём здесь куки вообще?) Cookie - это всего лишь один из вариантов хранить идентификатор сессии пользователя, можно и LocalStorage использовать для этого, если у вас контент рендерится не на серваке, а например, вы используете Web API + Client (Angular, Knockout, ReactJS, нативное приложение или что-нибудь ещё)

Comments

[HoHsi]

Я могу допустим записать в монгу IP с которого пользователь зашел в последний раз и текущую куку, и из этого исходить.

Меня именно интересует сессия через куки.

Как я понимаю LocalStorage думаю использовать довольно рисковое дело, так как браузеры его поддерживать стали относительно недавно.

И меня не интересует готовое решение, мне интересен именно алгоритм.

[Alex Kheben]

HoHsi: поддержка local storage есть уже с 8-го осла caniuse.com/#search=localstorage Сейчас 2015 год же :)
Вы слишком сильно усложняете задачу...
Пользователь регистрируется, вы сетите в БД пароль зашифрованный каким-нибудь из не обратимых алгоритмов хэширования (md5, sha1, но лучше bcrypt). Если будете использовать bcrypt, то там есть метод для генерации соли. Получившийся хэш и записываете в БД. Далее при авторизации можно сравнить пароль, который пришёл от пользователя с хэшем записанным в БД, если проверка пройдёт успешно - выписать токен.
В качестве токена можно использовать JWT (например, вот этот). В JWT записывается информация, которая позволит вам идентифицировать пользователя и какая-нибудь дополнительная информация для ваших нужд, плюс есть подпись, которая позволяет определить подлинность присланного JWT.
Вообще посмотрите Passport с локальной стратегией (LocalStrategy) и всё должно стать понятно.