OWASP 考虑在成功验证或权限级别更改后重新生成新会话
在 OWASP 网站上，他们的十大项目之一指出，我们应该考虑在成功验证或特权级别更改后重新生成新会话。
这样做的正确方法是什么？
一位同事告诉我但我没有测试过的一件事是，当用户使用浏览器选项卡时，每个选项卡都不会获得自己的会话，所以我认为这会否定整个练习。
谢谢， 保罗·斯佩兰萨
On the OWASP web site one of their top ten items states that we should consider regenerating a new session upon successful authentication or privilege level change.
What would be the correct way of doing this?
One thing a co-worker has told me but I haven't tested is that when a user uses browser tabs each tab does not get it's own session, so I think that would negate the whole exercise.
Thanks,
Paul Speranza
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
根据您使用的语言，您只需调用 session.invalidate() 之类的方法，然后重定向，这将创建一个新会话。
Depending on the language you are using, you would simply call something like session.invalidate() and then redirect which would create a new session.