Attualmente sto salvando LastLoginAt, LastActionAt, LastLogoutAt e LastLoginFromIPAddress. Non sono così sicuro del valore del logging / salvataggio dei dettagli dei logout e degli indirizzi IP, poiché non sono sicuro di quale uso sarebbero effettivamente. Qual è la "migliore" pratica qui quando si tratta di salvare informazioni sugli accessi degli utenti?
Non hai fornito dettagli specifici sulla tua app, ma generalmente devi registrare molto più di quello che stai attualmente memorizzando. Vedi questo Cheat Sheet di registrazione per maggiori dettagli.
Generalmente: se memorizzi solo informazioni sulle "ultime" azioni, hai pochissimo lavoro con se hai bisogno di usare uno di quei dati in un secondo momento.
Anche per un'applicazione web "semplice" ho trovato estremamente utile archiviare un registro completo delle azioni di accesso / disconnessione, con gli indirizzi IP associati e anche la stringa User-Agent (se si tratta di un'app Web). Probabilmente dovresti anche registrare i tentativi di accesso non validi (user_id, time, ip_address) per eseguire una sorta di limitazione della velocità e / o di rilevamento della forzatura brute delle password.
Semplice esempio: se un utente ti contatta per il fatto che il suo account è "hackerato" (la password è stata rubata o indovinata), è necessario disporre di un log completo di accessi per effettuare analisi significative.
Leggi altre domande sui tag authentication logging