会话令牌(Session Token).

认证成功后签发的不透明标识符,客户端在每次请求时回传,使服务器能查询用户的会话状态。 它属于网络安全的 身份与访问 分类。

认证成功后签发的不透明标识符,客户端在每次请求时回传,使服务器能查询用户的会话状态。

会话令牌用于在 HTTP 请求之间维持用户登录态。最常见的是服务端存储(数据库、缓存或签名 Cookie)的强随机字符串,以带 Secure、HttpOnly、SameSite 标记的 Cookie 发送给浏览器。服务器以它为键查询会话存储中的用户 ID、角色与元数据。优秀的会话令牌具有高熵,在登录和权限变更时重新生成,设置空闲与绝对超时,并在登出时在服务端失效。常见攻击包括会话固定、会话劫持、可预测 ID 与缺失登出。

针对 会话令牌(Session Token) 的防御通常结合技术控制与运营实践,详见上方完整定义。