session token 安全性 parse.com

Question

在过去的几个月里，我一直在 Parse 上构建一个应用程序(ios 和 web 应用程序)，并且刚刚发现他们的 session token 是如何工作的。这是我到目前为止所学到的:

每个用户都有自己的 session token

token 用于在向服务器发出请求时替换用户凭据(用于身份验证)

token 永远不会改变(即使密码被重置)并且永远不会过期

登录时 token 存储在客户端本地

用户可以使用 Parse.User.become(sessiontoken, options) 方法登录，只有 session token

这对我来说似乎很不安全，还是我错过了什么？似乎如果有人设法获得此 token ，即使更改了用户名和/或密码，他们也可以永久访问用户帐户？

谢谢，

马里奥

Answer 1

看起来他们刚刚更新了他们的系统以使用可撤销的用户 session 。不错的解析!

http://blog.parse.com/2015/03/25/announcing-new-enhanced-sessions