用户登录会话别设永久有效，旧cookie被偷，不用密码直接登进用户账号发广告

新手做用户登录，会话有效期设成永久，用户半年前登录的账号，cookie还在，别人拿到这个cookie直接就能登用户账号，根本不用密码，其实会话过期时间设对了，安全好多。第一，普通用户的登录会话，设成7天过期，别永久有效，用户长时间不登录，自动失效，下次要重新输密码；第二，后台管理员的会话，设成2小时过期，更严格，管理员离开电脑，会话自动失效，别人碰你电脑也登不进后台；第三，会话存数据库，别存文件，存文件的话，别人删个文件，所有用户都被强制退出；第四，用户点退出登录，立刻把会话作废，别让退出的cookie还能继续用。

我之前做社区，会话设成永久有效，有人拿到了用户的旧cookie，直接登录用户账号发广告，之后把普通用户会话改成7天，管理员2小时，退出就作废，再也没出现过会话被盗的情况。很多新手觉得会话时间设长点，用户不用频繁登录方便，但是会话永久有效，等于用户的账号钥匙永远不换，被人偷了就能随便用，合理的过期时间，既方便又安全。