Как организовать предоставление информации о том, кто и когда входил в систему и сколько времени провёл в сессии?

Нужен аудит входов и жизненного цикла сессии: успешная авторизация, выход, истечение и последняя активность. Точное время присутствия нельзя надёжно получить только из события login.

Храните ID пользователя и сессии, время и тип события в защищённом журнале с ограниченным доступом. Не записывайте пароли и токены. Явный logout даёт одну границу, а закрытие вкладки или потеря сети — лишь оценку по heartbeat и timeout. Разделите длительность действующей сессии и активное использование. Учтите несколько устройств, часовой пояс, срок хранения и основания обработки данных; отчёт должен обозначать метод расчёта.