如何在mochiweb中设置自动注销时间？

Question

我正在查看 mochiweb 的源代码，发现测试 cookie 过期时间的数字与我继承的服务器的行为完全不同。 mochiweb 在源代码中具有 111 和 86417（一天加 17 秒），但看起来它仅通过 cookie 过期和测试代码中的内容来实现其中任何一个。 （参见 mochiweb_cookies.erl）

我正在查看的服务器在大约 10-15 分钟内使用户超时，但我没有看到任何设置 cookie 值的代码，也没有看到通过 mochiweb 源的任何代码路径这甚至可以让我设置它。

有什么想法吗？

Answer 1

这里确实有两个问题：“我的应用程序如何进行会话过期？”和“如何使用 mochiweb_cookies 设置 cookie？”在没有更多信息的情况下，只能合理回答第二个问题。

Req:ok("text/plain",
       [mochiweb_cookies:cookie("session", "my-session-id", [{max_age, 86417}])],
       "you're logged in!")

mochiweb_cookies:cookie/3 返回一个 {"Set-Cookie", "headervalue"} 对，该对适合作为 mochiweb_request:respond 的 ResponseHeaders 参数中的值 和 mochiweb_request:ok。

当然，可以在不使用 mochiweb_cookies 模块的情况下在 mochiweb 中设置 cookie，毕竟它们只是标头。您的应用程序可能通过手工制作标头来设置 cookie，或者同一域下托管的代理或其他应用程序服务可能会设置 cookie。

话虽这么说，如果可能的话，您应该避免依赖 cookie 过期来注销用户。 max-age 实际上只是提示浏览器在该时间过后停止发送 cookie。浏览器或攻击者总是可能行为不当并无限期地发送 cookie。