防止ASP.NET MVC中的cookie重播攻击

我能开自己的钥匙价值商店吗 登录用户的cookie值和 只要确保我在 用户点击注销按钮。

是的,你可以这样做。成员资格提供程序保留一组关于用户的数据(用户名、电子邮件、密码、上次登录、密码丢失问题、密码丢失答案等)。

如果您不想重新适应会员制提供商,我将采用您提到的方法。无论信息是写入aspnet_用户表的注释字段,还是写入您自己表中的位字段,都不会有任何区别。

您可能还需要考虑将一个接口放入您的成员身份/身份验证代码中。然后,您可以在更方便的时候将当前代码交换到成员资格提供程序实现。

我发现会员资格提供商非常有帮助。它允许我作为开发人员对本地用户数据库使用sqlmembershipprovider,然后当我将其移动到生产环境时,只需使用ActiveDirectorymembershipprovider,而不必更改代码行(web.config文件除外)。

使用它们的CustomMembershipProvider,您可以重载任何身份验证方法,并在这些方法中执行您想要的任何其他检查。

如果你决定加入会员制提供商计划,我认为你不会后悔的。短期内可能会很痛苦,但从长远来看,我想你会看到回报的。既然您已经在控制器中编写了很多身份验证代码,那么将其融入到MembershipProvider使用它的方式中可能就不那么困难了?

…是否有一种实现最小成员资格提供程序的方法,以便在不向其传递所有身份验证代码的情况下进行这些检查?

国会议员正是让它做最好的事情的时候之一。如果你试着只在这里使用一部分,在那里使用一部分,如果可能的话,会在路上引起一些头痛。它知道它应该做什么,并且尽可能避开它,这将需要额外的工作,而这些工作最终可能是不必要的。