Простыми словами
Представьте пользователя, который уже вошёл на сайт и продолжает работать с аккаунтом. Серверу нужно отличать его настоящие действия от украденной, устаревшей или подставленной сессии. Так внешние данные и права проходят проверку до того, как смогут изменить состояние системы или получить доступ к защищённым ресурсам. Поэтому главное - заранее ограничить возможный ущерб и проверить, что лишний доступ или опасный ввод не проходят незаметно.
Пример при разработке
В проекте команда фиксирует практику «Отзыв сессии» как отдельное правило, добавляет автоматическую проверку и наблюдаемый критерий результата.
Это редакционный пример применения, а не часть определения или доказательство концепции.Формальное определение
Сервер может немедленно прекратить действие конкретной или всех сессий пользователя до естественного истечения токена.
Механизм действия
Для «Отзыв сессии» команда задаёт явные границы, проверяемый контракт и сигнал, по которому видно соблюдение или нарушение правила.
Пример в работе
Использовать «Отзыв сессии» как термин без владельца, критерия и проверки реального поведения.
Связать «Отзыв сессии» с конкретным риском, тестом или метрикой и пересматривать правило при изменении контекста.
Ограничения
Практика «Отзыв сессии» решает ограниченную задачу и не заменяет анализ всей системы, проверку исходных допущений и измерение побочных эффектов.
Источник
OWASP Foundation, “OWASP Cheat Sheet Series”, 2026.