多次登录时会话未失效时的影响

Question

在Web应用程序中，当不同客户端（浏览器）发生多次登录时，会话未被无效会产生什么影响？

Answer 1

那真的取决于您运行的Web应用程序的类型。如果你正在运行一个简单的网站，那么除了人们可以维护不同的登录实例这一事实之外绝对没有任何影响（想想google和facebook谁会这样做）。如果您正在运行MMO游戏或某个特定字符由一个帐户控制的东西，那么就不可能拥有相同角色的多个实例。在大多数情况下，不必担心多次登录。如果你有一个更具体的场景，虽然这对提供建议更有帮助。

Answer 2

非常广泛的问题，但一般来说，问题分为两大类：

1. 容量：会话在概念上是包含成员的对象。一个会话对象占用应用程序服务器内存中的空间。根据您的服务器硬件和配置，您最终会遇到性能问题，您的服务器必须跟踪数百甚至数十万个会话对象。一份写得不好的申请书将加剧容量问题;想象一个Web应用程序，其中每个用户会话启动数据库服务器连接。现在将数据库连接数乘以Web应用程序中的活动会话数。现在，您的应用程序服务器可能已经过调整或构建，以支持数百万个活动会话;您可能无法对数据库服务器说同样的话。此方案适用于会话对象可以与

保持活动且持久连接的任何其他资源

2. 安全性：这主要是应用程序设计的问题。大量生产应用程序实际上选择性地使用HTTPS，从而使用TLS保护登录过程，但是在用户登录后整个用户体验都是打开的。这包括使用JSESSION_ID与应用程序服务器进一步通信。现在，会话ID活动的时间越长，就越容易被劫持。积极地使会话无效是您可以在银行应用程序等中找到的。没有理由为什么理智的银行应用程序会使您的银行会话保持活动时间超过10分钟