服务器注销失败＆gt;客户端只退出？

Question

我有一个普遍的问题。我有一个使用cookie进行身份验证的Web应用程序。 Cookie也由服务器验证。

但是我应该在以下场景中做些什么：

• 用户点击退出按钮
• 通过AJAX将注销请求发送到服务器
• 服务器被黑客关闭或阻止，因此注销请求无法通过

问题是。我现在该怎么办？

1. 显示错误消息并保持客户端登录（我该怎么说？）
2. 注销客户端并显示错误消息（再次：我应该说什么？）
3. 注销客户端，不显示任何消息。 （如果是黑客攻击，黑客可以使用客户端身份验证令牌，因为服务器不知道任何事情，但客户端没有注意到任何内容）

Answer 1

希望您的会话暂停时间很短，因此用户将在20分钟左右后退出。

这是基于意见的，但我的建议是在可能的情况下清除cookie客户端 - 这只有在您的会话cookie不是httponly时才有可能。如果您无法登录客户端，因为攻击者阻止访问注销URL，那么：

是，显示错误消息以通知用户。毕竟，他们的帐户存在风险。 “您无法注销。请再试一次。如果问题仍然存在，请与我们联系。建议您清除Cookie。”

所以为了回答你的问题，最好的回答是＃2，但如果你把会话安全作为优先考虑，这可能是不可能的，所以你必须选择＃1。