Web App安全性：询问空闲用户是否要继续

Question

我已经要求我们的网络应用程序（在相关部分和子部分下）说：

会话管理

• 会话超时：

    

  用户应保持相当长的时间登录;该   会话不应该在任何情况下超时并在退出之前我们   必须有一个弹出屏幕，询问您是否要退出或继续。

  

  此外，只是重新迭代这不是关于注销功能的要求。   我认为这是一个奇怪的，也是一场噩梦，因为它认为空闲的用户会响应警报，这对我来说没有意义，因而也没有实施。

但我很想听听人们对这个要求的看法。如果您认为其有效，原因以及如何进行此操作？如果您认为这不是有效要求，请分享您的理由。

谢谢， 萨曼斯

Answer 1

我认为如果这样的弹出窗口显示为防止超时会话，而用户例如正在阅读长文本或复杂文本或刚接到电话，则弹出窗口本身应该超时。一旦超时到期，弹出窗口将显示其自己的超时，假设为10秒，如果用户未应答会话，则应终止。 我已经看到了你在其他网页上被请求过的方法，但没有第二次超时安全性会有风险。

Answer 2

如果你坚持认为它不是注销功能，那么我可以想出一个原因：

当用户的注意力转移到您网站以外的其他位置时，不活动就开始了。这可能是由于接听电话，阅读电子邮件，意外/有目的地关闭浏览器/计算机或物理移动等原因引起的。

在最后两个案例中，没有什么可以引起注意，但在其他情况下，alert()框是一个很好的视觉提示，可以引起注意。正是在这一点上，用户可以有意识地决定是延长会话时间，还是忽略/终止会话。

alert()往往比模态div更好，因为在浏览器窗口模糊/未聚焦/最小化的情况下，它会使操作系统提供视觉提示，比如说，闪烁任务栏。

我看到这种行为强制执行的一个例子是银行网站。同样，这种强迫用户注意的行为在像银行这样的敏感网站上是可以接受的，但我个人不愿意看到像Google或Facebook这样的其他网站。

请想一想您的用户并明智地使用它。

Answer 3

我认为你正在解释规范错误。

听起来我觉得会话本身永远不会过期，而当用户发起注销时，应该会有某种确认。