パスワード漏洩やブルートフォース攻撃などに対処するため、あるアカウントでログインしている全てのデバイスのセッションを無効化できなければいけない。多くの Web フレームワークはリクエストのあったセッションの無効化は対応しているが関連するセッションまでは関知しない。以下のような実装を行うことでフレームワークのソースを改修しなくても対処することが出来る。
- セッション発行時に日時情報を付加しておく。
- アカウントにセッション有効日時を付加する。
- パスワードが変更されたタイミングなどでセッション有効日時に現在時刻を設定。
- リクエストのあったセッションがその有効日時より前に生成されたものなら無効なセッション。