如何安全地刷新用户数据库中的“上次看到”记录

Question

我正在尝试设计一个ZF2应用程序的特定模块，该模块显示当前在线的用户。

我的想法：

在数据库中有一个lastSeen列。要显示当前在线用户列表，只需按时间戳搜索（例如：当前时间90秒）

如果用户已登录，我计划设置事件侦听器，以便在控制器调度完成后，它会更新当前用户的lastSeen字段。当他们退出时，它会清除lastSeen字段。

当用户空闲时，我计划每隔60秒左右使用JavaScript轮询服务器，以确保记录不断刷新。

三个问题：

1. 这会有用吗？ （如果没有，为什么不呢？）
2. 你能看到任何潜在的安全漏洞吗？
3. 对于JavaScript，是否需要某种csrf保护？如果是这样，我该怎么办呢？

我非常关心安全问题，所以我真的很想知道这里是否有任何可能会打开安全漏洞的东西。

Answer 1

Javascript刷新不是强制性的：lastSeen是一个时间戳，因此您可以计算一个限制，超过该限制就不会将用户视为在线。