很复杂，不是 1 天 2 天就能学会，得 1-2 周差不多。

后端专门有个函数用来验证登录，用户每打开个页面或者操作个啥，就会验证 cookie 里存的“安全令牌”，判断是不是登录或者过期等等。

cookie 存放“安全令牌”，内容示例：
HmacSHA1(securetoken, <securetokennumber><expirytime>@<userID>)
securetoken 与 securetokennumber 是某种索引。

安全令牌会定期刷新，从而导致存储在 Cookie 或 HTTP 会话中的身份验证状态会定期进行更新。
此定期更新具有两个优点：
1.闲置一段时间后，登录会话将超时：如果处理的请求处于过期状态的身份验证状态，则该请求将被视为未经身份验证。
2.如果 Cookie 被盗或 HTTP 会话被劫持，则身份验证状态会在合理的时间内过期，以尝试防止窃取身份验证。