cookie 可接受的过期时间是多少

Question

我开发了一个 Web 应用程序，我正在使用 cookie 来存储用户 ID。

我的问题是我应该将到期时间设置为多长时间？我是否应该将其设置得尽可能短？

例如：- 我的申请与时间和出勤有关，因此我可以假设离开该应用的最长时间是 2 周假期，因此我可以将其设置为 3 周或 1 个月。

或者我应该将其设置为 1 年还是 10 年？开发人员是否有某种道德责任在他们可以或人们不为这类事情烦恼时保持机器 cookie 免费？

Answer 1

我认为，如果您的应用程序包含任何敏感数据，您应该为您的用户提供选择，例如“记住我”。

我们有一个业务关键型应用程序，用户可以在其中获得发票和敏感数据。一年前，我们甚至为所有用户设置了双因素登录。

所以这取决于要保护什么？或者另一个问题，如果有人要去度假 2 周，他到家后必须重新登录，这是否太糟糕了？

一般来说，我认为这只是一个舒适的功能。

关于道德问题，如果您的系统中有个人和重要数据，您应该尝试使用当今最好的技术之一来保护它（我的意思是存储密码），但如果您想安慰您的用户，让他们使用“记住我”功能，因为那不是您的决定。