怎样在服务器端防止cookie被复制后的自动登录

   软件设计开发时，安全永远排在第一位，那么如何防止一个url携带cookie被复制后的自动登录，我总结一下几点：

1. 记录ip地址，当ip更换时，调整登录页
2. cookie添加有效期
3. 修改密码后要重新登录
4. 防止XSS攻击，可以将Http-Only设置为True。可以参考：https://tech.meituan.com/2018/09/27/fe-security.html
   什么是Http-Only:https://blog.csdn.net/qq_43348375/article/details/109330715
5. 一些站点会按照浏览器的UA信息或者是客户端的IP地址来生成一个签名串，每次回去比对这个签名串是否正确，如果网络环境发生了变化，即便是相同的cookie也会要求你重新登陆一下的
6. CSRF(Cross Site Request Forgery)即跨站请求伪造。就是利用后台有规律的接口，例如 localhost/deleteAriticle.php?id=3&username=xiaoxiao ，攻击者在被攻击的网站页面嵌入这样的代码，当用户xiaoxiao访问该网站的时候，会发起这条请求。服务器会删除id为3的数据。
   客户端防范：对于数据库的修改请求，全部使用POST提交，禁止使用GET请求。
   服务器端防范：一般的做法是在表单里面添加一段隐藏的唯一的token(请求令牌)。参考：https://zhuanlan.zhihu.com/p/22521378
   
   配置CsrfFilter
   假如：一家银行用以运行转账操作的URL地址如下：http://www.examplebank.com/withdraw?account=AccoutName&amount=1000&for=PayeeName。那么，一个恶意攻击者可以在另一个网站上放置如下代码： <img src="http://www.examplebank.com/withdraw?account=Alice&amount=1000&for=Badman">
7. 如果有账户名为Alice的用户访问了恶意站点，而她之前刚访问过银行不久，登录信息尚未过期，那么她就会损失1000资金。
8. 检查Referer字段，HTTP头中有一个Referer字段，这个字段用以标明请求来源于哪个地址。在处理敏感数据请求时，通常来说，Referer字段应和请求的地址位于同一域名下
9. 关键性事务操作添加验证码