AuthSub会话令牌永不过期;安全问题？

Question

我正在使用GData的AuthSub，以便我的管理应用程序不需要存储用户/密码信息。我刚开始学习如何为会话令牌（http://code.google.com/apis/accounts/docs/AuthSub.html#AuthSubSessionToken）交换第一个单次使用令牌的文档。然后这个声明跳到我身上：

您可以忽略到期日期，目前没有使用;会话令牌不会过期。

有人会关心解释一个非到期令牌如何不是一个安全问题？什么“有效不过期”真的意味着什么？理论上，如果恶意应用程序设法获取这些令牌之一，它是否可以继续使用它而不管密码更改？是否有可能看到目前在Google帐户上发布的会话令牌？

总之，我的偏执已经成型了，我需要一个聪明的大人来安慰我！

编辑：您可以手动在https://www.google.com/accounts/IssuedAuthSubTokens

Answer 1

是撤销令牌，其实如果一个会话令牌永不过期这是一个漏洞是由CWE-384认可，如果会话需要很长的时间到期，然后它是一个违反CWE-613。这两个CWE页面都很好地解释了这个漏洞。我不知道这个应用程序的细节，但通常可以使用会话令牌立即进行身份验证，而无需输入用户名/密码。