密码没有外泄，会话仍可能被接管：Cookie、来源绑定与重新认证如何分工

陌生登录提醒出现时，很多人的第一反应是检查密码：没有重复使用，没有重置邮件，也没有把验证码交给别人，于是判断账户应该没有被接管。这个判断少看了一层。密码负责证明一次登录，登录完成后的连续操作通常由另一个会话秘密维持。

密码保护的是认证入口

NIST把会话描述为认证后持续的一段交互。服务在认证时签发会话秘密，后续请求只要能证明仍持有这个秘密，就不必每次重新提交密码。会话秘密因此不是密码的副本，而是认证成功后生成的另一项通行材料。

RFC 6265说明，服务器可以用Set-Cookie把状态交给浏览器，浏览器在符合域名、路径和其他属性条件的请求中回传Cookie。服务器再决定其中哪个值代表登录会话。页面上没有显示密码，并不表示请求没有携带认证后的状态。

这也解释了为什么改密码有时不能立即终止所有既有会话。是否同步撤销，要看服务有没有把密码变更与会话存储连动。可靠的处置不能只依赖“通常应该”，而要查看会话管理页面是否提供终止单一会话或全设备注销。

会话秘密为什么会成为独立风险

只要服务端仍接受一个会话秘密，持有者就可能继续发送已认证请求。这里不需要再次知道原密码。风险的关键因此从“谁能通过登录表单”转为“谁还持有服务认可的会话”。

会话秘密可能有时间上限，也可能因注销、风险策略或账户变更而失效。浏览器关闭一个标签页通常不会自动完成这些服务端动作。即使本地Cookie被删除，服务端也可能仍保存对应会话记录，只是这台浏览器不再持有它。

反过来，服务端已经撤销会话时，本地留下旧Cookie也不会恢复权限。浏览器载体与服务端接受状态是两件事，排查时必须分别确认。

WebAuthn强化新认证，但不会追溯撤销旧会话

W3C WebAuthn把公钥凭据限制在特定依赖方范围。认证断言包含网站提供的挑战和客户端来源资料，依赖方必须核对挑战、RP ID哈希与origin。旧断言不能直接拿到另一来源重复使用，这能显著加强新的认证事件。

但WebAuthn回答的是“当前这次认证是否由正确范围内的凭据完成”，不是“此前所有会话是否都应继续有效”。一个会话若在启用通行密钥前已签发，或在某次正常认证后被异常复制，服务仍需另外撤销。

因此，“我已经启用通行密钥”不能作为忽略陌生会话的理由。通行密钥能减少密码钓鱼与断言重放风险，却不会自动修复错误的会话管理、浏览器扩展注入或服务端没有执行注销等问题。

为什么环境变化会触发重新认证

NIST指出，身份提供方与依赖方可以各自管理会话，并根据设备、浏览器、地理位置、IP特征和使用模式监测风险。风险显著变化时，服务可以要求重新认证或终止会话。

这些信号不是攻击证明。出差、更换网络出口、浏览器升级或隐私设置变化，都可能让正常使用看起来不同。合理做法是把信号当作重新建立身份保证的理由，而不是直接给异常活动定性。

同样，熟悉的设备名称也不是安全证明。设备标签可能由客户端提交，浏览器配置可以迁移，网络位置也会变化。最终仍要看会话签发时间、最近活动、来源范围与服务提供的撤销能力。

发现异常会话后的顺序

第一步是在可信入口打开账户的会话或设备管理，终止无法解释的会话。如果服务提供“退出所有设备”，在怀疑会话秘密泄露时应优先使用，因为只改本机状态无法触及其他副本。

第二步才是从可信设备重新认证，并检查密码、通行密钥、恢复邮箱、恢复电话和备用认证器。修改密码可以阻止后续密码登录，但要确认服务是否明确说明同时撤销旧会话。

第三步记录提醒时间、会话创建时间、设备标签与操作范围。不要为了确认而反复点击可疑通知中的链接，也不要把会话标识、Cookie内容或完整截图公开发送。

最后观察服务是否再次要求认证，以及未知会话是否重新出现。若它在全设备注销后仍持续出现，应把记录交给服务支持渠道，说明已执行的撤销动作，而不是继续猜测密码来源。

密码没有外泄，只能排除一部分路径。会话秘密、来源绑定和重新认证各自处理不同阶段：Cookie可能承载会话，WebAuthn强化新认证，风险监测决定何时重新确认身份，服务端终止才真正让旧会话停止被接受。

资料来源

• NIST：《SP 800-63B-4: Digital Identity Guidelines — Session Management》，发布或更新于 2025-07-31
• NIST：《NIST Special Publication 800-63B-4》，发布或更新于 2025-08-01
• RFC Editor / IETF：《RFC 6265: HTTP State Management Mechanism》，发布或更新于 2011-04-01
• W3C：《Web Authentication: An API for accessing Public Key Credentials - Level 3》，发布或更新于 2026-05-26