建议的最大SessionState的超时

Question

我有目前有

<sessionState timeout="43829" /> 

一个Web应用程序，我知道这是一个巨大的价值。我想了解有这么高的超时的影响。

基本上，用户习惯于Windows客户端应用程序，并且当构建此Web应用程序以替换当前应用程序时，他们不想超时。我相信这是造成如此高的超时价格的原因。

我想了解有这么大的价值的陷阱。

Answer 1

拥有较大的timout可能会增加CSRF或其他类似攻击的可能性。

由于HTTP是无状态的，网站通常使用cookie来存储标识每个用户请求的会话标识符。每个会话ID的保密性必须保持，以便多个用户不能访问同一个帐户。一旦会话ID被盗，它可以用来查看另一个用户帐户，甚至执行欺诈性交易。