python - 更改 session cookie的超时时间是否存在安全风险？

Question

假设我有一个 Pyramid 应用程序，我使用 UnencryptedCookieSessionFactoryConfig 进行 csrf token 并使用 SessionAuthenticationPolicy 进行身份验证。 session cookie的默认超时时间是1200，这意味着我的用户在20分钟后就断开连接，这很烦人。

我很想提高超时甚至删除它，并设置一个 max_age 以使其在浏览器中存活，但我想超时是有充分理由的。

拥有长期 session cookie 是否存在安全风险？这被认为是不好的做法吗？

我的猜测是 csrf token 应该是短暂的。在这种情况下，我应该使用 AuthTktAuthenticationPolicy 进行身份验证。同样的问题:带有 max_age 的身份验证 cookie 是一种不好的做法吗？

Answer 1

请注意，超时仅适用于当时未联系服务器的用户。 20 分钟内访问您的网站会刷新 cookie。

是的，允许 cookie 具有更长的超时时间存在安全风险；它会创建一个更长的窗口来危害客户端计算机或尝试利用应用程序中的 XSS 缺陷。我仍然对 cookie 设置一个限制。

无论如何，我都会使用 AuthTktAuthenticationPolicy 来管理用户身份验证 session ；它提供了对 session 生命周期更细粒度的控制(请参阅此 older answer of mine )。

您甚至可以编写一小段 javascript，在用户处于事件状态时(键盘和鼠标输入，例如每分钟一次)定期触发服务器来刷新该 cookie；关闭浏览器， session 在 20 分钟内自动消失。