极道
·
缩短Session会话有效期并不能增加安全性
💡
原文中文，约1700字，阅读约需4分钟。
📝
内容提要
会话超时是一种保护机制，但短会话超时可能影响用户体验和安全性。短会话超时可防止某些攻击，如XSS和共享计算机的会话接管，但对其他攻击方式的阻止有限。会话令牌的安全性取决于应用程序的具体情况，可以设置为永不过期。
🎯
关键要点
- 会话超时是一种保护机制，但短会话超时可能影响用户体验和安全性。
- 短会话超时可以防止某些攻击，如XSS和共享计算机的会话接管，但对其他攻击方式的阻止有限。
- 大多数大型网络应用程序（如Gmail和GitHub）并不遵循短会话超时的建议，认为这是可以接受的风险。
- 安全威胁可以通过其他措施修复，如磁盘加密和HttpOnly cookie。
- 短会话超时可能会导致用户体验成本，用户需要频繁重新登录。
- 攻击者可以通过多种方式访问用户的活动会话，短会话超时并不能完全防止会话接管。
- 共享计算机和未锁定的设备可能导致会话被接管，但短会话超时并不是解决方案。
- 重新验证有风险，短会话可能导致用户采取不安全的身份验证措施。
- 会话令牌可以设置为永久不过期，提供更好的安全性和用户体验。
➡️
