c# - 注销网站应用程序的最佳实践

Question

我正在使用服务器端身份验证流程来处理登录到我的 C# .NET 网站。用户登录后，我会建立一个 formsauthenticationtoken 对象来跟踪用户的后续请求是否经过身份验证。

FB有以下政策：

Your website must offer an explicit "Log Out" option that also logs the user out of Facebook.

（这是＃6在以下位置 - https://developers.facebook.com/policy/）

我提供了“注销”按钮，当用户单击它时，它会将用户从 FB 和我的应用程序中注销。

但是，如果用户在另一个浏览器选项卡中退出 FB 怎么办？我是否也需要将用户从我的应用程序中注销？就我而言，我在技术上不需要将用户从我的应用程序中注销，因为我的用户令牌是在登录时建立的，而且我在登录后对 FB 没有任何依赖。

谢谢，

Answer 1

不，您不必将用户从另一个选项卡中注销。但是，如果您对网站的安全性有疑虑，这可能是一个好主意。您可以做的一件事是，我设置了一个不活动计时器，如果用户 5 分钟不使用该页面，该计时器会自动将其注销。