Session Handling bei Passwortänderung

[Felix Riesterer]

Lieber Rolf,

wenn ein Mensch an zweierlei Clients jeweils mit einem Session-Keks ausgerüstet eine stehende Anmeldung hat, dann will der das so haben. Soweit so gut.

Wenn der Mensch sein Passwort ändert, dann kann man auf zweierlei Arten argumentieren:

1. Eine Passwortänderung ändert nur das Passwort. Sessions bleiben unverändert.
2. Eine Passwortänderung soll mögliche Missbraucher einer geklauten Session aussperren. Bestehende Sessions werden gekillt, mit Ausnahme derjenigen, in der die Änderung erfolgt ist.

Beide Argumentationen haben meiner Meinung nach ihre validen Anwendungsfälle. Es sollte auf der PW-Änderungsseite eine Checkbox geben, die dem Menschen die Wahl zwischen den beiden Möglichkeiten lässt.

Liebe Grüße

Felix Riesterer