cookies - 你的 "remember me"cookie 的生命周期是多少？

Question

我的规范说 30 天。我即将争论更长的 TTL，比如 90 - 120 天。你怎么认为？

这适用于标准网站，而不是 Intranet 应用程序。

Answer 1

我个人的建议是将相对较短的到期 cookie 与滑动到期和长到期身份 cookie 结合起来。

第一部分是您的标准周/月到期身份验证票 cookie，您可以在每个请求或特定时间间隔更新，或者您想要采用的任何其他滑动到期方案。

第二部分是您在半年/年到期的 cookie 中记住用户的身份。这不是身份验证票，只是身份提醒，因此如果用户在 session 过期后返回，他们会受到欢迎，您可以选择显示一些非敏感的个人信息，例如收件箱中的电子邮件数量或类似内容，但要实际访问任何敏感信息，他们需要对自己进行身份验证。

这将为您的常规用户(每天或每周访问)提供持续的永不过期的 session ，同时仍然保持相对较短的时间范围内的身份验证票证。同时，对于一个多月回来的人，你仍然可以给他们个性化的体验，而且他们的账户是安全的。我认为实际上没有人会遇到问题，如果您要求他们在缺席一个月后进行身份验证以访问其帐户的某些部分，即使他们选中了记住我/记住我的密码复选框。