c# - session 超时或表单例份验证超时是否应该注销用户？

Question

我对应该如何注销用户感到有些困惑。

目前我将 session 超时设置为 20 分钟，我认为一旦 session 过期，用户就应该注销。

我可以添加一段代码，在 session_end 上执行此操作。

我在 web.config 中遇到了表单例份验证超时。目前设置为 48 小时。

我已将身份验证超时更改为 20 分钟，这样就可以了。

那么 session 超时应该注销用户还是应该通过表单例份验证超时来完成？

谢谢

编辑:

我现在面临的是 session 变量设置为 0，这很好，因为 session 已超时。但我本以为用户也会被注销。

我说身份验证数据始终存储在 cookie 中并且只有在我达到表单例份验证超时后该 cookie 才会被清除是否正确？

因此，我面临的是预期的行为。用户丢失 session 但他仍然登录，因为身份验证信息存储在 cookie 中。

在这种情况下，我可以将 session 超时设置为与表单例份验证超时完全相同。此处假设当用户在网站上执行任何操作时，表单例份验证超时会刷新。

另一种方法是将代码添加到 session_end 方法中，我将在其中注销用户。

编辑 2:

身份验证超时是否会与 session 超时同时刷新？

编辑 3:

遇到这个“滑动过期会根据单个 session 期间的每个请求将事件身份验证 cookie 的过期时间重置。”，我相信这就是我正在尝试的达到。如果 session 和身份验证超时相同，则每次重置 session 超时时都会重置身份验证超时，这应该可以完成工作。欢迎任何反馈...

Answer 1

我认为这取决于您的网络应用程序的性质。大多数常规网站(例如 StackOverflow)不会在 session 结束时注销用户。然而，对于安全关键网站(即银行)，用户的登录状态取决于 session ， session 通常会减少到几分钟。

从它的声音来看，您的网络表单取决于正在登录的用户，如果这仅取决于 session ，那么您将需要 ping 服务器以使 session 保持事件状态。

除非表单要求提供安全/个人信息，否则我不会对其完成施加较短的时间限制。这不是我第一次完成一半的表格，然后上床 sleep 并在早上完成它!