長い認証セッションとセキュリティ

Question

私は、FacebookやTwitterなどの多くのWebサイトで認証を受けた後、2〜3か月、おそらく1年という長い時間ログに記録されていることに気付きました。

私の質問は、これは安全ですか？あるいは、彼らは何とかセッションidを時間とともに変更するでしょうか？

Answer 1

一部のWebサイトではセッションデータを含むセッションCookieを使用していますが、バックエンドにしか見えない秘密鍵で大きく暗号化されています。他のいくつかのWebサイトではトークンを使用しているため、基本的にアクセストークンを使用してコンテンツにアクセスできます。アクセストークンは短期間のみ有効です。次に、あなたの短期間のアクセストークンをリフレッシュするために長期間有効な更新トークンを取得しました。これらのトークンは、サイト間のjavascriptおよびlocalstorageによって簡単に取得できるため、cookieとしてではなく、localstorageアイテムとして保存する必要があります現在のサイトでのみ利用可能です。