概念Impersonation / 身份模拟
用户模拟
Web应用中允许管理员或客服人员临时以目标用户身份执行操作的安全机制，用于问题排查或用户支持，实现方式依赖底层会话管理机制（Cookie或Bearer Token）
时间轴 (近 90 天)
9月23日
多数Web框架推荐的用户模拟做法是交换Cookie，即将当前会话Cookie替换为目标用户的会话Cookie
待验证50%
9月23日
有些身份认证SDK在模拟场景下返回代表被模拟用户身份的全新完整Token，另一些则返回带有特殊声明的Token
待验证50%
9月23日
Cookie交换方案退出模拟时的保存-恢复原始凭证过程本身构成攻击面，可能导致会话混淆或权限提升
待验证50%
9月23日
在Bearer Token架构下实现用户模拟应围绕Token本身设计，而非套用Cookie交换思路，并优先选择能嵌入真实操作者声明的方案
待验证50%