Warum Sie Nach Einer Stunde Abgemeldet Werden

Wenn Sie mitten in einer Arbeitssitzung ohne Vorwarnung von Ihrem Konto abgemeldet wurden, ist die Erklärung einfach und so beabsichtigt: Das bei der Anmeldung ausgestellte Sitzungstoken ist nur genau eine Stunde gültig, Punkt, und nichts im System verlängert das still und heimlich, während Sie aktiv sind. Dieser Beitrag behandelt genau, was dieses Token ist, warum eine Stunde als harte Grenze statt als gleitendes Fenster gewählt wurde, und das separate, enger begrenzte Token, das während des kurzen Zeitfensters bei einer Anmeldung mit Zwei-Faktor-Authentifizierung verwendet wird.

Was Das Sitzungstoken Tatsächlich Ist

Eine erfolgreiche Anmeldung stellt ein JSON Web Token aus — einen signierten, in sich geschlossenen Berechtigungsnachweis mit Ihrer Benutzer-ID und E-Mail-Adresse, kryptografisch signiert mit einem serverseitig gehaltenen Geheimnis, sodass er vom haltenden Client weder gefälscht noch verändert werden kann. Dieses Token ist das, was Ihr Browser bei jeder nachfolgenden Anfrage mitsendet, um zu beweisen, wer Sie sind; der Server führt keine separate Liste "angemeldeter" Sitzungen, gegen die er prüft — er verifiziert lediglich die Signatur des Tokens und liest bei jeder Anfrage dessen Ablaufangabe. Das Token selbst trägt eine expiresIn-Angabe, die beim Signieren fest auf genau eine Stunde ab dem Ausstellungszeitpunkt gesetzt wird.

Es Gibt Kein Refresh-Token im Hintergrund

Manche Systeme koppeln ein kurzlebiges Zugriffstoken mit einem länger gültigen Refresh-Token, das im Hintergrund still und heimlich gegen ein neues Zugriffstoken eingetauscht wird, sodass ein Benutzer nie bemerkt, dass sein ursprüngliches Token abläuft. Dieses Muster existiert hier nicht. Es gibt genau ein Token, es ist eine Stunde ab Ausstellung gültig, und wenn es abläuft, weist die Authentifizierungs-Middleware die Anfrage mit einer konkreten Meldung "Token abgelaufen. Bitte erneut anmelden." ab, statt still und heimlich einen Ersatz zu erstellen. Was auch immer Sie gerade taten, wird unterbrochen, und die Lösung ist jedes Mal dieselbe: erneut anmelden, was ein frisches Token mit einer frischen einstündigen Uhr ausstellt.

Warum der Ablauf Eine Harte Wand Ist, Kein Gleitendes Fenster

Da der Ablauf ein Zeitstempel ist, der zum Zeitpunkt der Anmeldung fest in das Token eingebettet wird, wird er nicht dadurch zurückgesetzt, dass Sie das Produkt weiter genutzt haben. Neunzig Minuten ununterbrochener, aktiver Arbeit enden immer noch dreißig Minuten nach dem Stopp in einer erzwungenen Abmeldung — das Token weiß nicht und interessiert sich nicht dafür, dass Sie noch dabei sind zu klicken; es weiß nur, wann es erstellt wurde. Das ist ein deutlich strengeres Modell als eine "gleitende" Sitzung, die sich bei jeder Anfrage verlängert, und es bedeutet, dass die Ein-Stunde-Angabe eher "Sie bleiben nie länger als eine Stunde angemeldet, ohne sich erneut zu authentifizieren" bedeutet, nicht "Sie werden nach einer Stunde Inaktivität abgemeldet".

Der Anmeldeablauf mit Zwei-Faktor-Authentifizierung Nutzt Bewusst Ein Separates, Schwächeres Token

Wenn Sie die Zwei-Faktor-Authentifizierung aktiviert haben, verschafft Ihnen ein korrektes Passwort allein noch kein vollständiges Sitzungstoken. Es verschafft Ihnen ein kurzlebiges temporäres Token — fünf Minuten gültig, nicht eine Stunde —, das eine purpose-Angabe trägt, die es als nur für genau eine Sache verwendbar markiert: das Einreichen Ihres sechsstelligen Codes oder eines Backup-Codes am Verifizierungsendpunkt für den zweiten Faktor. Die Authentifizierungs-Middleware, die jede andere geschützte Route bewacht, prüft explizit auf diese purpose-Angabe und weist jedes Token, das sie trägt, ab, selbst wenn es mit demselben Server-Geheimnis signiert ist und die Signaturprüfung sonst problemlos bestehen würde. Diese Prüfung existiert eigens dafür, dass ein korrektes Passwort allein — ohne den zweiten Faktor — niemals gegen echten Kontozugriff eingetauscht werden kann, selbst nicht von jemandem, der das temporäre Token unterwegs abgefangen oder herausgefunden hat, wie JWTs funktionieren. Erst nachdem der zweite Faktor verifiziert wurde, stellt der Server ein echtes einstündiges Sitzungstoken aus, identisch in Form und Laufzeit zu dem, das bei einer Anmeldung ohne Zwei-Faktor-Authentifizierung ausgestellt wird.

Was Das in der Praxis Bedeutet

In der Praxis bedeutet das: Es gibt keine Einstellung, um Ihre Sitzung zu verlängern, keine Option "angemeldet bleiben", die ein Token länger am Leben hält, und keine Hintergrundaktualisierung, die Ihnen still und heimlich zusätzliche Zeit verschafft. Wenn Sie an etwas arbeiten, das wahrscheinlich länger als eine Stunde dauert — eine lange Durchsicht eines CSV-Imports, das Ausfüllen eines großen Stapels Rechnungen — lohnt es sich, die gelegentliche erzwungene erneute Anmeldung als normalen Teil des Arbeitsablaufs zu erwarten statt als Fehler, und Ihre Arbeit schrittweise zu speichern, statt von einer einzigen ununterbrochenen Sitzung von über einer Stunde auszugehen.