登录令牌是否会过期？

Question

我开发了一个应用程序,包括一个Web后端,提供通过电子邮件和密码或通过令牌登录的方法.通过电子邮件登录时,服务器会在30天后存储的用户记录中存储令牌.然后,此令牌可用于自动登录,而无需每次都再次键入电子邮件和密码.至少30天.

现在我的问题是:令牌到期真的有必要吗？如果是这样,为什么？

再见

Answer 1

可用性 - 答案是"不,它不应该过期",安全答案是"是的,它应该肯定到期"

原因:弱认证和会话管理在OWASP Top Ten(1)中排名第二.防止会话劫持和其他基于会话的攻击的常见最佳做法是会话到期.这样,减少了被盗,预测或暴力强制令牌的影响.它还减少了时间,攻击者必须"打破"令牌.你可以在这里找到关于会话到期的好总结:(2)