当密码为res时删除所有用户的cookies/sessions

Question

我对提高TurboGears2.2应用程序的安全性很感兴趣，这样当用户更改密码时，它会将他从所有会话中注销，然后他必须再次登录。目标是当用户在浏览器1上更改密码时，他也必须在浏览器2上重新登录。实验表明情况并非如此，尤其是当浏览器2启用了“记住我”时。

这是标准的快速入门应用程序休息。谁. 似乎我需要改变AuthTktCookiePlugin，但是没有办法不重新布线。

Answer 1

在request.identity['userdata']中存储上次更改密码的时间戳，应该可以在用户返回时检查该时间戳，如果与上次更改密码的时间不同，则可以将其注销。在