重置密码时删除所有用户的 cookie/会话

Question

我有兴趣提高我的 TurboGears 2.2 应用程序的安全性，以便当用户更改密码时，它会将他从所有会话中注销，并且他必须重新登录。目标是当用户在浏览器 1 上更改密码时，他也必须在浏览器 2 上重新登录。实验表明情况并非如此，尤其是在浏览器 2 启用了“记住我”的情况下。

这是使用 repoze.who 的标准快速启动应用程序。看来我可能需要更改 AuthTktCookiePlugin，但如果不重新布线，就没有办法做到这一点。

Answer 1

在request.identity['userdata'] 中存储上次更改密码的时间戳应该可以在用户返回时检查它，如果与上次更改密码不同，则将其注销。