会话管理安全要点

会话是 Web 认证的核心状态；安全会话管理涵盖生成（足够随机）、传输（Secure、HTTPS）、存储（服务端状态、HttpOnly）、失效（超时、注销）与监控（异常会话检测）。

会话 Cookie 属性组合

Set-Cookie: sess=<强随机值>; Path=/; Secure; HttpOnly; SameSite=Lax
# Secure 仅 HTTPS 传输；HttpOnly 防脚本读取；SameSite 缓解跨站发送

空闲超时：如 30 分钟无操作失效
硬性超时：如登录后 8 小时必须重新认证
注销：服务端删除会话记录（不只是清 Cookie）
异地登录提醒与会话列表管理

会话 ID 生成必须使用密码学安全随机源；自增或时间戳形式容易被遍历猜测。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌