auth-session-review

认证与会话审计

何时使用

当目标涉及登录、登出、密码重置、会话续期、记住我、MFA、管理后台切换身份、API Token 与浏览器 Cookie 共存等场景时使用本技能。

如果请求已经明确落到 SQLi、XSS、文件上传或 IDOR，优先调用对应专项 skill；本技能负责把认证与会话面的边界审计做完整。

快速流程

1. 画出认证面：登录入口、登出、注册、找回密码、刷新令牌、MFA、后台切换身份、移动端接口。
2. 区分匿名态、普通用户态、高权限态，保存每类请求与响应摘要。
3. 检查会话建立、续期、失效、权限升级与跨设备行为是否一致。
4. 审核 Cookie/Token 属性、作用域、生命周期、撤销逻辑与 CSRF 防护。
5. 记录可复现证据，重点写“前置条件、角色、步骤、预期、实际”。

重点检查

登录与会话建立

• 登录成功后是否签发多个并存凭据，例如 Cookie、Bearer Token、临时票据。
• 登录失败、锁定、验证码、MFA 缺失时，返回是否泄露用户名存在性或策略细节。
• 不同入口是否共享同一会话体系，避免 Web 与 API 的认证边界不一致。

Cookie 与 Token 属性

• Cookie 是否设置 HttpOnly、Secure、合适的 SameSite。
• Domain / Path 作用域是否过宽，避免把管理会话暴露给不相关子路径或子域。
• Token 是否包含过长有效期、缺失受众限制、角色与设备信息不一致。

会话续期与撤销

• 登出后旧凭据是否立即失效，还是仅前端删除本地状态。
• 修改密码、重置密码、MFA 重绑、权限变更后，历史会话是否被统一撤销。
• “记住我”与常规会话是否清晰区分，避免长期凭据绕过短期会话控制。

权限切换与敏感操作

• 升权、切租户、切组织、切项目、模拟登录等操作后，会话上下文是否刷新。
• 敏感操作是否需要再次确认身份，例如二次密码、MFA、短期 step-up。
• 不同角色共享同一浏览器时，缓存和前端状态是否造成越权显示。

CSRF 与跨站边界

• 浏览器态接口是否对跨站请求具备清晰防护：SameSite、CSRF Token、双重提交、Origin/Referer 校验。
• 仅依赖自定义 Header 而无源校验时，要确认真实浏览器请求链是否能稳定阻断跨站调用。

建议工具

http-framework-test

• 对匿名、普通用户、高权限三类请求做并排比较。
• 固定重放登录后关键操作，关注 Set-Cookie、缓存头、重定向、状态码差异。
• 对登出后相同请求做复测，验证旧会话是否真正失效。

jwt-analyzer

• 用于解码与审阅声明、时间字段、受众和作用域，不要只看前端展示文案。
• 若系统同时使用 Cookie 与 JWT，分别记录谁是授权源、谁只是显示载体。

nuclei

• 作为补充检查常见认证配置错误、默认后台、敏感路径暴露，不替代手工状态对比。

证据要求

• 保存匿名态、已登录态、登出后复测三组请求摘要。
• 对权限切换、密码修改、MFA 变更等动作，记录变更前后相同接口的差异。
• 若问题依赖浏览器行为，补充 Cookie 属性、重定向链和关键响应头。

输出模板

• 资产与入口
• 角色与会话模型
• 发现的问题
• 复现步骤
• 影响范围
• 修复建议

修复建议方向

• 缩短长期凭据有效期，并把撤销逻辑与密码/MFA/权限变更联动。
• 按操作敏感度增加 step-up 身份确认。
• 收紧 Cookie 作用域，明确 SameSite 策略，补足跨站源校验。