| 检查点 | 空闲超时、绝对超时、注销、多端策略 |
|---|---|
| 验证 | 注销后用原标识重放请求 |
| 期望 | 服务端拒绝已注销标识 |
验证步骤
验证步骤
1. 登录后记录会话标识
2. 执行注销，再用原标识重放一个只读请求
3. 观察是否被拒绝（而非仅前端跳转）
4. 静置超过空闲阈值后重试，核对超时策略修复视角：会话状态存服务端并在注销/超时后失效，前端清理只是体验优化。
会话超时与注销检查
核查会话生命周期：空闲超时、绝对超时、注销后服务端失效、多端登录策略；注销仅清前端不算修复。
易错点
- 以“页面跳回登录页”判断注销成功
- 长超时策略未与业务风险挂钩评估
数据来源与参考
- OWASP WSTG WSTG-SESS-06
- OWASP ASVS V3