长身份验证会话和安全

Question

我注意到，在我在许多网站进行身份验证后，例如在Facebook或Twitter上，我登录了很长时间，超过2-3个月，也许是一年。

所以，我的问题是，这是安全的吗？或者也许他们以某种方式改变会话ID与时间？

Answer 1

一些网站使用包含会话数据的会话cookie，这些数据通过仅由后端可见的密钥加密。其他一些网站使用令牌，因此基本上可以通过使用访问令牌来访问您的内容，该访问令牌仅在短期内有效。然后，您得到了长期有效的刷新令牌以刷新您的短期访问令牌，这些令牌不会也不应该作为cookie存储，而应作为本地存储项存储，因为Cookie可以通过跨站点javascript和本地存储轻松获得仅适用于当前网站。