概述
会话配置若与数据敏感度不匹配，长寿命且不可吊销的会话会把一次被盗放大为长期访问。逐项检查 Cookie 属性、超时、登录时轮换与吊销能力，并测试过期、并发与全局登出等边界，可让会话生命周期始终受控。
关键步骤
- 复核 Cookie 的 HttpOnly、Secure 与 SameSite 属性。
- 按数据敏感度核对空闲与绝对超时。
- 验证登录及权限变更时的轮换与吊销能力。
- 测试过期、并发会话与全局登出等边界。
验证
- 过期或已吊销会话立即被拒。
- 登录后重放旧会话 id 无效。
- Cookie 不可被脚本读取也不跨站发送。
- 边界行为可观测。
决策点
宜用带吊销的短期令牌以兼顾扩展与控制；超时宜同时设置空闲与绝对上限以约束被持续保活的会话。
适用范围
本条目围绕「会话管理审计工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
curl -si https://app.example.com/login | grep -i set-cookie
# Set-Cookie: sid=...; HttpOnly; Secure; SameSite=Lax; Path=/