Flask网站登出后Session Cookie未失效的安全问题求助

你的问题根源在于：仅调用session.clear()只是清空了当前会话中的数据，但客户端的Session Cookie未失效；如果使用了服务器端Session存储（如Redis），服务器上的Session记录也未被删除。因此用户保存登出前的Cookie后，注入时仍能匹配到有效Session，保持登录状态。

修复后的登出代码 #

@app.route("/logout")
def logout():
    # 获取当前Session ID（仅当使用服务器端Session存储时需要）
    session_id = session.sid if hasattr(session, 'sid') else None
    
    # 清空当前会话数据
    session.clear()
    
    # 生成响应并强制使客户端Session Cookie过期
    resp = redirect(url_for("index"))
    # 注意：SESSION_COOKIE_NAME默认为'session'，如果你的配置有修改请对应调整
    resp.set_cookie(app.config.get('SESSION_COOKIE_NAME', 'session'), '', expires=0)
    
    # 如果使用了服务器端Session存储（如Redis/Flask-Session），删除服务器端的Session记录
    # 示例（Flask-Session + Redis）：
    # if session_id:
    #     redis_client = app.extensions['session_interface'].redis
    #     redis_client.delete(f'session:{session_id}')
    
    flash("Déconnecté avec succès !")
    return resp

关键修复点说明 #

• 强制失效客户端Cookie：通过set_cookie将Cookie的值设为空，并设置expires=0，让浏览器立即删除该Cookie
• 清空服务器端Session记录（可选但必须，若用服务器端存储）：直接删除服务器上对应Session ID的存储条目，彻底销毁会话
• 清空会话数据：session.clear()确保当前会话中的用户信息被移除

内容的提问来源于stack exchange，提问作者Lytox Cyber