如何避免cookie伪造？

[supersheep]

我用的php，初学者的做法一般就是
这样设置

setcookie('username','xxx',time()+3600*24);
setcookie('password','xxx',time()+3600*24);

再这样读取

$logged = false;
$username = @$_COOKIE['username'];
$password = @$_COOKIE['password'];
if(isset($username)&&isset($password)){
$logged=true;
$user = getUser($username,$password);
}

这种做法的话用户名和密码就都是明文保存在本地的，不安全对吧。
那我可以加密后再保存到cookie里，登陆的时候再在后台程序里解密，加解密的方法只有我自己知道。
这样是可以避免用户名密码泄露，但是要通过cookie伪造登陆应该还是很方便。
我想知道后者一般是如何避免的？谢谢指教。

[reus]

我也是用python来做php的代码生成器..

[supersheep]

@reus 平时js写得比较多，一到php里发现不能把函数当参数传，函数返回数组不能直接用[]引用什么的就觉得很不爽……

[lijia18]

伪造是挡不住的，唯一靠谱的方法是随机一个字符串。

[reus]

@supersheep 是啊，语言那是相当的不现代…

[walleve]

不用就是最安全的。

建议直接数据库存储cookie/session

[supersheep]

@Livid 写着写着又有不明白了，ua和ip的信息应该已经隐含在cookie里了，为什么还要在数据库里存一份呢？