为什么银行网站总是在你不活动后登录？

Question

似乎我使用过的每一个银行和金融网站都会在一段时间后登录我的网站。

金融网站是否有法律要求或技术理由来这样做？或者，这只是他们的“安全”形式，以防止他人访问您的帐户，如果您忘记注销或保护您的计算机或设备？

在我看来，这是非常糟糕的用户体验。谷歌不会在这么短的时间内登录我，我觉得我在2个步核查的谷歌账户和一大批非常聪明的工程师比我的银行账户安全得多。

似乎我应该能够选择这些网站是否自动登录，或如果我可以在一个合理的时间内登录(30 - 90天是常见的其他网站)。

编辑

我相信所选的答案是这个问题最完整的答案，但所有的理由似乎都不是银行结束会议的好理由。

攻击者访问您的银行网站会话有两个级别的风险：

1. 查看您的私人(财务)信息
2. 修改你的帐户(这包括偷钱，把你锁在外面等等)

这种情况在任何网站帐户上都存在，但对于金融网站和大多数人来说，第二种情况要比其他类型的网站严重得多。

我认为一个比注销用户更好的解决方案是：

1. 默认会话超时为短持续时间
2. 允许用户更改其帐户的会话超时
3. 要求重新验证修改帐户或移动资金的操作。

Answer 1

这是为了你的安全。这样，人们就不会意外地登录到自己的帐户中，因此，任何能够访问您的计算机的人都可以完全访问您的银行帐户。

这样，窃贼就不会有动机闯入你的房子，偷走你的电脑，不仅因为电脑的价值，而且有可能获取你毕生的积蓄，用它来购买物品，把资金转移到国外等。(是的，他们可以闯入，安装键盘记录器，并可能进行同样的攻击。)

Power用户每天会检查他们的电子邮件帐户数百次；每次都要重新登录将是过于沉重的负担。您的银行帐户您只需要登录很少，可能是10分钟，每周或每月一次。

被盗银行账户的潜在影响对普通用户的影响通常比电子邮件账户被盗的后果更为严重。

并不是说失去你的电子邮件帐户也不会有严重的影响(特别是如果你可以用你的电子邮件重置密码，作为2因素认证的一部分，用于社会工程等)。

Answer 2

如果你的银行发行信用卡，它必须保持PCI的一致性.

PCI-DSS需求 8.1.8指出：

8.1.8如果会话已空闲超过15分钟，则要求用户重新验证以重新激活终端或会话。

Answer 3

会话到期被合并到应用程序中，以保护用户免受会话劫持或cookie盗取。

并不是所有的用户都精通技术，也可能不明白什么是会话劫持或cookie盗取，are.So迫使用户每隔几分钟登录一次，这是为了保护用户的信息。

银行应用程序使用cookie和会话来维护用户状态和安全性。经过几分钟的空闲时间后，关闭cookie，使黑客谁偷饼干也不可能登录。