長身份驗證會話和安全

Question

我注意到，在我在許多網站進行身份驗證後，例如在Facebook或Twitter上，我登錄了很長時間，超過2-3個月，也許是一年。

所以，我的問題是，這是安全的嗎？或者也許他們以某種方式改變會話ID與時間？

Answer 1

一些網站使用包含會話數據的會話cookie，這些數據通過僅由後端可見的密鑰加密。其他一些網站使用令牌，因此基本上可以通過使用訪問令牌來訪問您的內容，該訪問令牌僅在短期內有效。然後，您得到了長期有效的刷新令牌以刷新您的短期訪問令牌，這些令牌不會也不應該作爲cookie存儲，而應作爲本地存儲項存儲，因爲Cookie可以通過跨站點javascript和本地存儲輕鬆獲得僅適用於當前網站。