如何管理 OKX Web 登入的會話過期設定？

會話管理架構

1、OKX網頁登入不依賴傳統的伺服器端會話儲存。它使用成功憑證驗證後頒發的 JWT 令牌來實現無狀態身份驗證。

2. 每次登入都會產生一個短期存取令牌，其有效期固定為 2 小時，並在 API 閘道層級嚴格執行。

3. 刷新令牌加密儲存在瀏覽器 IndexedDB 中，有效期為 30 天，除非手動撤銷或由安全事件觸發。

4. 令牌過期會作為exp聲明嵌入到 JWT 有效負載中，並在對後端服務的每個請求上進行加密驗證。

5. 不存在修改預設令牌生命週期的客戶端設定選項；所有持續時間都硬編碼在 OKX 的身份服務層中。

自動令牌更新流程

1. OKX前端使用performance.now()和內部定時器即時監控令牌到期時間戳記。

2. 當剩餘有效期低於 90 秒時，系統透過 POST /api/v5/users/login-renew 端點啟動靜默刷新。

3. 續訂需要使用源自用戶特定熵的輪換金鑰透過 HMAC-SHA256 重新簽署刷新令牌。

4. 失敗的續訂嘗試會立即觸發 UI 重定向到登入頁面，而不會將原始錯誤代碼暴露給最終使用者。

5. 允許跨裝置並發會話，但須遵守 OKX 風險策略引擎中定義的每個帳戶並發限制。

安全執行機制

1. 所有令牌驗證都在 OKX 的強化身分驗證微服務內進行，與公共網路暴露隔離。

2. 會話劫持保護包括將令牌綁定到 TLS 指紋、IP 地理位置穩定性和裝置畫布雜湊。

3. 快速令牌刷新周期或跨大陸 IP 跳轉等可疑活動會觸發自動令牌失效。

4. 瀏覽器儲存權限強制執行嚴格的內容安全策略指令，防止未經授權的腳本注入令牌儲存上下文。

5. 登出操作透過分散式 Redis 發布/訂閱通道在所有活動會話中執行同步撤銷。

瀏覽器級會話控制

1. OKX 對所有與身分驗證相關的 cookie 強制執行 SameSite=Strict cookie 屬性，以防止 CSRF 利用。

2. 在會話 cookie 上設定HttpOnly標誌，以阻止 JavaScript 存取敏感驗證資料。

3. 禁止使用 LocalStorage 儲存任何憑證或令牌；僅允許使用靜態加密的 IndexedDB。

4. Cache-Control 標頭強制要求所有傳回會話敏感資料的端點使用無儲存指令。

5. Web Workers 在主執行緒之外處理加密操作，以減輕定時側通道攻擊。

常見問題解答

Q：我可以手動將訪問令牌延長超過兩個小時嗎？不會。訪問令牌的生命週期是不可變的。只有自動刷新機制才能在過期前取得新的token。

Q：清除瀏覽器 cookie 是否會立即使我的會話失效？是的。清除 cookie 會刪除 HttpOnly 會話 cookie，即使存取權杖在記憶體中仍然有效，也會強制重新進行驗證。

Q：為什麼 OKX 使用 IndexedDB 而不是 localStorage 作為刷新令牌？與同步 localStorage 操作相比，IndexedDB 支援非同步加密 API，並針對 XSS 有效負載提供更好的隔離邊界。

Q：會話逾時是否受到瀏覽器睡眠模式或網路中斷的影響？不會。過期時間是使用 UTC 時間戳在伺服器端計算的。客戶端時鐘漂移透過在初始握手期間與 OKX 的 NTP 伺服器同步來補償。