パスワード変更で、そのユーザのHTTPセッションをすべて破棄する - Qiita

はじめに Webアプリケーションで、**利用者が「パスワード変更」**を行ったら、そのユーザのHTTPセッションをすべて破棄する。 という実装を一般的なWebアプリケーション・フレームワークではどのように実装するのかという点について考察した。 なぜこれが必要なのか ユーザのHTTPセッションが、不正行為者にハイジャック(乗っ取り)されている場合、利用者はパスワード変更で不正行為者が乗っ取っているHTTPセッションを破棄することができる。 しかしながら、パスワードが漏洩している場合は、不正行為者が先にパスワード変更されると**「おしまい(パスワード変更での2要素認証は必須)」**だが、不正行為者よりも先にパスワード変更ができれば、不正行為をその時点までに止めることもできる。 (セッションハイジャックされた原因がそのままだと、再度ハイジャックされるかもしれないが・・・) 一般的なWebアプリケ