1. 사용자가 선택해서 만든 상황이라 그런 것까지 생각하면 브라우저를 껐을 경우 세션이 사라지도록 해야합니다.

xss, csrf, sql injection 에 대한 방비는 정확하게 하고 고려해야할 상황과 고려대상이 아닌 상황을 잘 구분하셔야 개발범위 산정이 용이합니다.

1. 사용자를 비난하는 것은 보통 해결책이 아니지만... 그건 PC방에서 로그아웃을 하고 가지 않는 사용자가 나쁜 겁니다. 막말로 서버/브라우저 입장에서 사용자가 집에서 로그인한 건지 PC방에서 로그인한 건지 어떻게 아나요?

2. 쿠키 유지 시간이 길어지는 것 자체가 특별히 문제가 될 것 같지는 않습니다. 우려하셔야 할 사항은 오히려 쿠키의 값을 다른 (아직 삭제 안 되고 잘 돌아가는) 세션값으로 변경할 수 있는 경우에 대해서입니다. 그런데 이것도 httponly 설정된 쿠키에 대해서는 안되는 일일 텐데요.

3. JWT 사용을 고려해 보세요. 서버에서만 해독할 수 있는 암호문을 사용자에게 던져주고 필요할 때마다 사용자가 그 암호문을 제출하도록 하는 방식인데, 암호문 내용으로 각종 정보(사용자명, 로그인시 요청헤더 값, 만료될 시점 등)를 포함시킬 수 있습니다.

다른건 둘째치고 일단 조건이 상반 되네요

브라우저를 껏을때도 로그인을 유지

만약 PC방에서 로그인을하고 로그아웃 처리없이 브라우저를 끄면 실제 브라우저에는 쿠키가 남아있음

로그인을 유지 하라는 것인가요? 로그인을 유지 시키지 말라는 것인가요?

브라우저를 꺼도 세션이 유지 되는것은 브라우저의 좀비 쿠키 역할입니다 [캐시라고도 하지만 실제 세션유지는 좀비가 남아있는것]

저도 이전에 브라우저 별로 로그인 세션 끊기 요청이 들어와서 찾아본적이 있는데, JAVA처럼 VM으로 관리를 하는 타입이 아니면 세션별 공유에 대한 정보교환이 어렵습니다.

연관검색으로 브라우저 닫기 버튼 [X] 버튼을 클릭시 세션 유지 삭제에 대한 이벤트를 찾아보았지만, 이는 내부 객체이라서 접근이 안됩니다.