你有没有过这样的经历？在咖啡馆连上Wi-Fi，打开邮箱查个文件，临时走开接个电话，回来发现页面还在，但总觉得哪不对劲——其实这时候，你的账号可能正暴露在风险中。问题就出在“会话过期时间”上。
什么是会话过期时间？
当你登录一个网站时，服务器并不会每次都核对用户名和密码，而是给你发一张“临时通行证”，也就是会话（Session）。只要这张通行证有效，你就能一直操作。而过期时间，就是这张通行证的“保质期”。
这个时间太长，比如设成7天甚至更久，确实省事，下次打开网页不用重新登录。但代价是安全风险陡增。一旦设备丢失、公共电脑被他人使用，或者网络被劫持，别人就能直接“继承”你的登录状态。
合理设置，平衡便利与安全
不是所有场景都该用同一套规则。你可以根据用途灵活调整：
- 银行、支付类系统：建议10-15分钟无操作即过期
- 企业后台管理：建议20-30分钟自动登出
- 普通社交或内容平台：可放宽至1-2小时
很多用户觉得频繁登录麻烦，于是勾选“记住我”。但这个功能通常会生成长期有效的令牌，本质上绕过了会话机制。真正安全的做法，是短会话 + 双因素认证，而不是依赖长久不退出。
开发者该怎么配置？
如果你负责系统开发，别把默认值当真理。比如PHP的默认会话过期是1440秒（24分钟），看似合理，但很多项目上线后从没改过。你应该根据业务场景主动干预。
以常见的Web应用为例，在服务端设置会话过期时间：
session_set_cookie_params('900', '/', '.example.com', true, true); // 15分钟
session_start();前端也可以配合检测用户活动，比如监听鼠标移动、键盘输入，一旦超过设定空闲时间，就触发登出：
let idleTime = 0;
const idleInterval = setInterval(() => {
idleTime++;
if (idleTime > 15) { // 超过15分钟
window.location.href = '/logout';
}
}, 60000); // 每分钟检测一次
window.onload = resetIdleTimer;
window.onmousemove = resetIdleTimer;
window.onkeypress = resetIdleTimer;
function resetIdleTimer() {
idleTime = 0;
}别忽视移动端的特殊性
手机App往往更容易被忽略。很多人习惯登录后就不退出，一用就是几个月。某些App甚至把会话令牌写进本地存储，卸载重装都不清掉。这种设计等于把钥匙永远留在门外。
合理的做法是：App进入后台运行超过一定时间（比如30分钟），再打开时应要求重新验证身份。尤其是涉及敏感操作时，哪怕刚切回来，也得输个密码或刷个指纹。
小改动，大防护
会话过期时间看起来是个技术细节，但它直接影响账户是否容易被“顺手牵羊”。你不需要追求极致复杂的安全方案，先把基础设置做对，就能挡住大部分低门槛攻击。
下次配置系统或使用在线服务时，多问一句：这张“通行证”该管多久？答案很可能不该是“一直有效”。