Insights / 技术解读
统一多个服务的登录期限：会话更新与重新认证的边界
区分主动登录、服务器期限、Cookie与认证平台设置，整理多个Web服务的登录期限设计和验证范围。
使用同一账户，不代表应用会话与认证平台的会话完全相同。本案例将内部的期限统一工作整理为通用设计，不公布部署对象或具体时长。
用相同请求比较到期前后的行为
在测试环境设置短期限，分别执行显式登录、普通浏览和后台刷新，比较服务器保存的到期时间变化。到期后从界面与API执行相同操作，确认重新认证引导及数据访问拒绝。缩短时间的测试应与长期生产运行分开记录。
先区分期限
分别盘点认证平台会话、应用会话与浏览器Cookie。绝对期限、空闲期限和标识符轮换是不同控制；更换标识符不一定应延长有效期。
区分主动登录与普通访问
本案例在主动登录成功时更新适用期限，浏览、后台通信、自动更新令牌或轮换标识符均保留原期限，不作为续期原因。点击按钮或到达回调不等于认证成功，必须验证结果。需要重新认证时，还应确认复用认证平台已有的登录状态是否满足要求。
服务器也必须检查期限
延长Cookie保存时间不能决定服务器接受会话的时间。应一起检查服务器期限、失效状态、Cookie和平台限制。规则一致不代表共享Cookie，也不代表在一个服务退出后所有服务立即退出。
验证认证源的认证时刻与失效时刻，将应用期限限制在其范围内。共用的是会话验证契约，业务权限仍由各应用判断。持有独立Cookie的访问网关也应作为单独的期限边界盘点和审计。
- 身份提供方与 callback 验证认证结果及 callback 的 context/state。仅登录成功不会授予应用权限。
- 应用、Cookie 与网关 分别校验服务器端应用会话、浏览器 cookie 和网关会话的过期与撤销。
- 各服务的权限 由各应用单独检查业务权限。普通访问或后台刷新不会延长期限，也不意味着全局退出。
配置检查与行为验证分开
代码和配置审计应与登录、期限边界、过期后登录及退出测试区分。确认旧会话何时适用新规则，以及页面和API如何处理过期。日志记录判断和时间，不记录会话值或凭据。
已确认范围与后续验证
历史记录确认了规则变更、生产部署和配置差异审计机制。此次验证记录未包含真实用户登录或等到实际期限结束的测试，不能证明每个用户设备都经过真实时间边界测试，或所有失效与重新认证条件均安全。期限及额外验证应按数据和操作的重要性决定。
一般检查可参考OWASP会话管理与认证。其他会话层的例子可参见Cloudflare会话管理。本文的检查建议不表示本案例全部已执行。
2026年10月6日补充：认证流程延续与应用权限
匿名化的认证改进记录把OIDC callback到达、token验证、原认证请求的延续以及应用权限分别处理。延续所需context丢失时，返回可安全重新开始的明确错误，不把它当作登录成功。返回目标也要验证；登录共用账户并不授予所有应用的业务权限。
登录、注册、认证provider的添加与删除、恢复路径都要检查同一契约。修改和部署记录并不能证明所有provider、所有用户的真实登录受验已完成，也不能证明已完整测试最后一种恢复方式不会丢失。
附加认证因素、身份提供方登录、访问网关、应用的受保护写入分别验证。限定的写入canary不能替代所有正式OIDC路径或停用账户的拒绝测试。注册、初始设置、修改界面与API共用输入规则，以相同测试检查边界值的拒绝与接受；不把某个字符数当作普遍标准。
登录与注册的界面及callback提示也要分开。显示和health检查不是外部账户实际创建、同意完成的证据。移除provider时，一起盘点按钮、callback、配置、提示与测试，并检查残留路径。