창이 사라지면 뒤의 접근 허용은 어떻게 될까?
로그인은 보통 매 페이지마다 신원을 증명하지 않도록 세션을 만든다. 브라우저는 이후 요청을 알아보게 하는 정보를 저장한다. 탭을 닫으면 화면은 달라지지만 서비스가 세션을 계속 인정하는지는 설계와 정책에 달렸다. 공유하거나 잃어버린 기기에서는 특히 중요하다.
창 닫기는 화면 사건이고 취소는 접근 결정이다.
결정을 이어 가는 세션
서비스는 인증 뒤 쿠키에 세션 식별자를 발급하거나 다른 토큰 구조를 사용할 수 있다. 이후 요청은 비밀번호를 다시 보내는 대신 그 상태를 참조한다. 편리하지만 접근의 수명은 비밀번호를 입력하거나 승인한 몇 초와 별개다.
브라우저 저장과 서버 승인은 관련되지만 다르다. 종료 시 일부 데이터를 지우거나 유지하거나 세션을 복원할 수 있다. 서버는 만료와 비활동 제한, 취소를 시행할 수 있다. 탭 표시만으로 알 수 없으며 실험은 가상 시간과 실제 자격 증명 없는 모형이다.
작은 시간선
모형에서 영 시점에 발급하고 육십에 만료한다. 십에 탭을 닫아도 서버 상태는 바뀌지 않아 이십에는 유효하다. 육십에는 만료로 무효다. 별도 분기에서 이십오에 취소하면 원래 만료 전인 삼십에도 무효가 된다.
다섯 검사는 이 경계와 취소 전, 만료 후 요청을 확인한다. 정한 정책의 결과이며 브라우저나 쿠키, 웹사이트 관찰이 아니다. 실제 시스템은 서로 다른 수명의 자격 증명을 함께 쓸 수 있다. 단일 참·거짓 함수는 사건을 구분하는 학습 도구다.
로그아웃은 서비스에 하는 요청
로그아웃은 보통 로컬 정리와 세션 종료를 조정하지만 범위는 다르다. 여기서 로그아웃과 모든 기기 로그아웃은 다른 제어일 수 있다. 별도 앱 세션이나 연결된 승인도 있을 수 있으니 버튼 하나가 즉시 모든 곳을 끝낸다고 가정하지 말자.
노출 뒤 비밀번호 변경은 중요하지만 모든 기존 세션을 끝내지는 않는다. 필요하면 기기와 세션 제어를 검토한다. 낯선 세션은 별도로 접속한 실제 서비스에서 조사하고 지원되면 취소한다. 로컬 방문 기록 삭제가 다른 곳에 이미 생긴 접근을 없애지는 않는다.
공유 기기의 마무리
공유 컴퓨터에서는 불필요한 자격 증명 저장을 피하고 마치면 명시적으로 로그아웃한다. 비공개 창을 썼다면 해당 창도 닫지만 모든 서비스 승인이 취소된다는 보장은 아니다. 비공개 모드는 주로 로컬 탐색 동작을 바꾸며 보호는 브라우저와 기기에 달렸다.
로그아웃 전에 작업 저장을 확인한다. 다운로드한 파일은 세션과 별개로 남을 수 있다. 비공개 창이 직접 저장한 문서를 자동으로 지우지는 않는다. 소유자 규칙을 따르고 허용된 경우 자신의 복구 가능한 로컬 자료를 적절히 정리한다.
분실 때는 계정 전체를 살피자
다른 신뢰할 기기에서 서비스의 로그아웃과 보안 제어를 확인한다. 세션 취소, 기기 잠금, 복구 설정은 다른 부분을 다룬다. 변경 전파가 늦거나 표시 정보가 제한될 수 있다. 공식 지침을 따르고 낯선 위치 표지만으로 침해를 단정하지 않는다.
평소에는 중요한 서비스의 세션 제어 위치를 알아두고 공유 기기에서 의도적으로 로그아웃하자. 토큰 내부를 몰라도 경계는 이해할 수 있다. 페이지는 작업하는 곳이고 세션은 그 작업을 계속하도록 허용하는 일부다.