多设备登录与凭证轮换场景下，如何限制会话固定、盗用和权限残留？

# 核心结论

会话安全的关键不是让令牌长期有效，而是做到标识不可预测、凭证用途隔离、每台设备独立管理、权限实时收敛，并允许服务端随时撤销。登录成功、重新认证或权限提升后必须更换会话标识，防止攻击者预先植入标识实施会话固定；访问凭证应短期有效，刷新凭证应轮换并检测重放；退出、改密、冻结、降权及多因素认证状态变化都要触发明确的失效策略，不能只等待客户端令牌自然过期。

# 底层机制

登录前的匿名会话与登录后的认证会话必须分离。认证成功时，服务端生成高熵新会话标识，仅迁移购物车等必要状态，并立即使旧标识失效。每个设备建立独立会话记录，至少保存用户、设备会话编号、创建时间、最近活动时间、认证强度、权限版本、刷新凭证族及撤销状态。