authentication - 保留身份验证 cookie，但不允许在不同站点并发访问

Question

我有一个 Web 应用程序，我希望用户只能从一个位置使用它(这意味着用户不能在两个位置主动使用该应用程序)。目前，我通过只允许 1 个 cookie session 有效并在用户登录时删除任何现有 session 来以一种非常常见的方式工作。不幸的是，我被告知我只允许 1 个 cookie 的方法是 Not Acceptable ，因为我的用户移动很多到不同的网站，并且厌倦了每次都必须登录。一个简单的解决方案是允许 1 个以上的 cookie，但我不能这样做，因为我需要确保一个用户帐户不会同时在两个位置使用。

我想知道实现这样的系统的最佳方法是什么，用户不能在超过 1 个位置处于事件状态，但不必在他们访问的每个位置都必须登录。

我有一个可能的想法是允许记录多个 cookie，但是一旦 cookie 变为事件状态(这意味着我注意到 session 导航应用程序)，所有其他 cookie 都会被锁定一段时间，例如 15 分钟。如果 15 分钟内没有 cookie session 处于事件状态，则允许任何 cookie 登录并获得对其他 cookie 的支配地位，直到超过时间限制。

编辑:他们离开某个位置后可以保持登录状态

Answer 1

一种方法是记录他们的最后一个 IP 地址以及访问时间。在每次访问时，您都可以检查他们的上次访问。

如果最后一次访问来自同一个ip，让他们通过。

如果最后一次访问来自不同的 ip，请检查那是多久之前的。然后，您可以定义他们需要闲置多长时间才能从其他位置访问它的截止点。 15 分钟似乎是合理的。

所有这些都可以在后端完成，这可能会提供更高级别的安全性。