带JWT令牌的HttpOnly Cookie过期日期相关技术疑问

Cookie生命周期的核心作用 #

• 客户端自动清理机制：浏览器会依据Cookie的Expires或Max-Age属性，自动在到期后删除该Cookie，无需服务器额外操作，避免客户端长期留存无效令牌。
• 配合令牌有效期实现联动失效：比如你的access令牌设为20分钟过期，对应Cookie的生命周期也设为20分钟，浏览器到点就会删除Cookie，客户端不会再携带失效的access令牌发起请求，减少无效请求量。
• 缩小攻击时间窗口：Cookie生命周期越短，即使被恶意窃取，攻击者能利用它进行非法操作的时间就越有限，降低账号被持续劫持的风险。

能否将Cookie设为永久？是否违背安全原则？ #

技术上可以通过设置极大的Max-Age值（比如10年）实现“永久”Cookie，但这严重违背安全原则，绝对不建议这么做：

• 无限放大攻击风险：如果refresh令牌对应的Cookie是永久的，一旦令牌被窃取，攻击者可以无限期使用它刷新access令牌，直到用户主动登出或服务器手动吊销该refresh令牌，账号被劫持的时间窗口被拉到最长。
• 无法自动清理无效令牌：即便服务器端已经将某个refresh令牌标记为失效（比如用户修改密码、账号重置），客户端的永久Cookie仍会持续发送这个无效令牌，增加服务器的校验负担，也可能引发不必要的错误。
• 违反安全核心原则：安全领域的“最短有效期”原则要求权限类凭证的有效期尽可能短，永久Cookie直接打破了这个原则，大幅提升了账号安全的不确定性。

内容的提问来源于stack exchange，提问作者Pavel Sturov