一、前言
一个网站的登录系统可以算作是一个网站的大门，如何让这个大门足够的安全，并且又不用太复杂是一个很考验经验的工作。作为一个没有经验的新手，简单记下一点自己在做网站登录系统设计时做法。
二、前提
首先假设我们设计的网站是一个单服务器的应用，并且他有多种登录方式（邮箱，手机，用户名），以及多种登录途径（web，app）。
三、正文
1.会话状态
因为是单服务器的应用，所以不用担心多台服务器之间的会话状态转移的问题，所以为了简单，我们采用的是cookie方式，这样既不用在用户关闭浏览器后再次访问就要重新登录，也可以通过设定cookie的失效时间，来让浏览器自动在一定时间后让用户重新登录，保护用户设备丢失带来的风险。
2.登录方式
考虑到需要支持邮箱，手机或者是用户名的登录，也就是用户随意输入其中的一种以及密码都要可以登录，所以要对用户名有一定的限制，首先用户名不能重复，并且用户不能是手机或者邮箱，因此要对用户名做一些简单的限制——用户名不能为纯数字，也不能包含@符号。
3.密码存储
密码的存储是一定要足够安全的。因此对密码的存储一定要够安全。我采用的是密码+salt的方式，使用sha-256加密。
4.身份验证
身份验证上，我在cookie中填入用户id和token连接而成的字符串（称为id_token)，例如24|dashdiuasdhgiuagsduigaiusdg这种形式，|符号前面是Id，后面是token，token是登录时随机生成的，在登录时会讲登录记录插入到数据库中，这条记录包括用户id，登录名(用户名，邮箱或手机中的任一种)、登录途径(web还是app)、登录时生成的token、登录时间等等，然后之后用户提交请求时都会验证cookie,将cookie中的id和token截取出来，与最新的一条该用户id的登录成功的记录的token对比，如果一致，则表示身份是对的。这种做法可以很好的防止伪造cookie。对于app来说，将这个cookie保存下来就可以一直作为登录凭证。如果遇到手机丢失，想使手机上的登录失效，重新用新手机登录一次即可。
5.多端登录的冲突解决
在4.身份验证中说到，登录的身份验证是根据最新的该用户的登录记录来判断的，所以如果用户在app上登录了，再在网站上登录则会使app的登录失效，为了解决这个问题，可以在登录时附带上登录方式的字段，那么就可以解决web端和app端的冲突问题。