비밀번호를 재설정 할 때 모든 사용자의 쿠키/세션을 제거하십시오.

Question

TurboGears 2.2 애플리케이션의 보안 향상에 관심이있어서 사용자가 비밀번호를 변경하면 모든 세션에서 사용자를 로그 아웃하고 다시 로그인해야합니다. 목표는 사용자가 브라우저 1에서 비밀번호를 변경하고 브라우저 2에서 다시 로그인해야하는 경우입니다. 실험에 따르면 브라우저 2가 "나를 기억"하도록 설정 한 경우 특히 그렇습니다.

이것은 repoze.who를 사용하는 표준 빠른 시작 앱입니다. 어쩌면 AuthTktCookiePlugin을 변경해야하지만 재 배선을 많이하지 않고도 그 일을 할 수있는 방법이없는 것 같습니다.

Answer 1

암호가 마지막으로 변경된 시간 기록을 request.identity['userdata'] 안에 저장하면 사용자가 돌아올 때마다 암호를 확인하고 암호가 실제 암호로 변경된 마지막 시간과 다른 경우 로그 아웃 할 수 있어야합니다.