ログイントークンは有効期限が切れますか？

Question

私は電子メールとパスワードまたはトークンを介してログインする方法を提供するWebバックエンドを含むアプリケーションを開発しました。電子メールでログインすると、サーバーは30日後にユーザーレコードにトークンを保存します。このトークンを使用すると、毎回電子メールとパスワードを入力する必要なく、自動的にログインすることができます。少なくとも30日間。

私の質問：本当にトークンが期限切れになる必要がありますか？もしそうなら、なぜですか？

bye

Answer 1

ユーザビリティ-答えが、「いいえ、それは有効期限が切れてはならない」である セキュリティの答えはなぜ

を「はい、それは間違いなく期限切れにすべき」です：弱い認証とセッション管理がOWASPトップ上のナンバー2でありますTen（1）。セッションのハイジャックやその他のセッションベースの攻撃から防御するための一般的なベストプラクティスは、セッションの有効期限です。このようにして、盗まれた、予測された、またはブルート強制的なトークンの影響が軽減されます。また、時間を短縮し、攻撃者はトークンを「破壊」する必要があります。 ここでセッションの有効期限についての概要を確認できます：（2）

Answer 2

アプリケーションのセキュリティ要件によって異なります。誰かがアプリケーションにログインした後で、元のユーザー用に作成されたトークンを使用して他の誰かがログインしてログインできることを覚えておいてください。