您應該讓用戶在Web應用程序中保持登錄狀態多久？

Question

問題背景： 我們正在構建一個需要用戶登錄的在線Web應用程序。我們將添加「讓我在此計算機上登錄x星期」的功能。

問：

什麼是你應該多長時間允許用戶留在簽署爲正常標準？ * 2周？ * 4周？ *永遠？

爲什麼？是否有理由不允許我們的用戶永遠保持登錄狀態？

Answer 1

我不知道是否有標準，真的。這一切都取決於您的應用程序和安全問題。你不希望只有任何人能夠坐下你的電腦，並在你還在登錄時抓住你的信用卡號碼。

但是，例如，Stackoverflow在登錄時並沒有最高的安全性問題它不應該。這是一個很大的便利，我不必在這裏登錄每次訪問。

另一方面，我的工作涉及開發支持大型在線保險應用的&。當我們收集大量個人信息時，保持安全更重要一點。當然，我們不收集信用卡或社會安全號碼，我們當然不希望登錄在應用程序中間超時。所以我們與一個會話相關的12小時超時妥協。這意味着關閉瀏覽器會自動註銷，或者如果您讓瀏覽器在網站上停留12個小時，您也會以此方式註銷。

然後在頻譜的盡頭，你有你的網上銀行網站，通常約20分鐘後簽出你。這是非常有道理的，因爲我無法想象一個更糟糕的情況，因爲網上銀行讓我的登錄時間過長。

Answer 2

「是否有理由不讓我們的用戶永遠保持登錄狀態？」

如果您這樣做，那麼無論您是否更改密碼，都可以永久保留簽名的非授權用戶訪問您的帳戶。

我不知道標準，但我認爲兩週是正常的時間流逝。

Answer 3

這取決於。

我離開網站後，我的網上銀行不會讓我保持登錄狀態。但是我的電子郵件會自動登錄兩週，而且StackOverflow（至今）並沒有要求我在一個月內重新登錄。

因此，這取決於您正在構建的應用程序的類型。

Answer 4

答案取決於您的應用程序的便利性與安全性的可接受平衡。

高安全性的應用，如網上銀行應該可能永遠不會允許用戶在保持簽署。

對於像電子郵件安全性較低的應用程序，它可以接受的允許用戶永遠保持簽署。但是，您應始終將其作爲用戶的選項，並且該選項應該聲明它只應在使用私人計算機時使用（您絕不希望在共享或公用計算機上執行此操作）。