MVC 在会话中保存令牌答案

【问题标题】：MVC save a token in sessionMVC 在会话中保存令牌
【发布时间】：2012-10-21 15:49:20
【问题描述】：

我正在调用一项服务，并且我需要在我发出的每个请求中传递用户的永久安全令牌。

为了做到这一点，我已将此方法添加到我的基本控制器类中：

protected UserData getUsr()
{
        try
        {
            UserData usr = new UserData();
            usr.SecurityToken = Session["secToken"].ToString();

            MembershipUser mvcUser = Membership.GetUser(HttpContext.User.Identity.Name);
            usr.Id = (int)mvcUser.ProviderUserKey;

            return usr;
        }
        catch (Exception ex)
        {
            log.Debug("Could not create usr object", ex);
            throw new Exception("Could not authenticate");
        }
    }

这里的问题是，有时 User.Identity 数据比会话数据更持久，导致用户看到他们已登录但随后他们的请求失败时发生奇怪的错误。

有没有更好的方法来存储这个令牌/我可以以这样的方式存储它，只要 User.Identity 对象过期，它就会过期吗？

另外，如果有人知道一些关于 HttpContext 和 MVC 授权过滤器的基本理解示例/文档，那就太好了。

【问题讨论】：

您可以简单地检查其中一个值、令牌或 User.Identity 数据是否不再有效。然后用户需要重新登录
是的，但这需要在 MVC 检查授权过滤器的任何地方进行，否则他们可以访问一个页面，并花费 10 分钟填写一个表单，但由于其令牌已过期而被拒绝。
我查看了其他一些问题，重写 MVC onauthorize 方法非常有效。虽然它并没有完全解决问题，所以我将搜索 onauthenticate 方法（无论是什么），看看我是否可以覆盖它。

标签： asp.net-mvc session authentication asp.net-membership

【解决方案1】：

您可以将用户安全令牌、IP 地址和时间戳放在一个字符串中。使用对称算法（如 AES）加密字符串并将其作为 cookie 放置。然后更改您的代码以从 cookie 中读取。您可以验证 cookie 中的 ip 地址是否与用户的 ip 地址匹配，这将防止有人窃取 cookie 值并重放它。 Here 是关于 AES 的 MSDN 文档（Rjindael 是原始名称）。在此方案中，令牌不会过期，直到 cookie 过期和/或达到您的超时时间。我强烈建议你设置一个超时，而不是让它永远或持久，它会使排除超时的方案不那么安全。还要将时间戳放在 cookie 值的开头，因为这些算法的 CBC 模式会影响加密字符串的外观，因为开头的位发生变化（雪崩效应）。

ASP.NET 成员身份提供程序也有一个身份验证 cookie，因此该 cookie 不应在成员身份 cookie 之前过期。会话必须在超时时过期，因为无法保证用户仍然存在，因为 HTTP 是无状态的，而 cookie 处于用户的控制之下，并且每次发出请求时都会传递。

getUsr 函数

protected UserData getUsr()
{
    try
    {
        UserData usr = new UserData();

        string token = Request.Cookies["secToken"].Value;

        // implement RijndaelManaged encryption/decryption scheme
        // this can also be serialized as an object to make cleaner
        var tokenValues = Decrypt(token).Split(',');

        // The timeout expired
        if (DateTime.Now > DateTime.Parse(tokenValues[1]))
        {
            throw new Exception("Timeout");
        }

        // someone stole this cookie or is on a different internet connection
        if (tokenValues[0] != System.Web.HttpContext.Current.Request.UserHostAddress)
        {
            throw new Exception("Invalid IP");
        }

        // You're ok everything checks out
        usr.SecurityToken = tokenValues[3].ToString();

        MembershipUser mvcUser = Membership.GetUser(HttpContext.Current.User.Identity.Name);
        usr.Id = (int)mvcUser.ProviderUserKey;

        return usr;
    }
    catch (Exception ex)
    {
        log.Debug("Could not create usr object", ex);
        throw new Exception("Could not authenticate");
    }
}

【讨论】：

我担心这种方法的安全性；将此类信息存储在 cookie 中是行业标准吗？此外，更重要的是，我如何处理超时？每次用户点击页面时，ASP.net 会员 cookie 都会将超时重置为 30 分钟，这意味着我也需要每次都重写我的身份验证 cookie。我是否需要覆盖某些 ASP.NET 方法的默认行为？
一个问题可能是用户来自的 IP 地址可能是共享 IP，因此同一网络上的用户可能会劫持 cookie。至于被破坏的数据的安全性，我会说 cookie 不太可能根据算法 (AES) 本身被解密，这将取决于您的密钥生成、存储该密钥的位置和方式。会话也可以被劫持，因为会话 id 作为 cookie 发送，中间人可以窃取并重放它并做同样的事情。 codebutler.com/firesheep 展示了如何做到这一点。
至于超时，您只需在 cookie 值中添加一个日期时间戳作为加密内容的一部分，您可以在每次验证 cookie 并重新写入 cookie 时将其重置 30 分钟，不过，这可能有点矫枉过正，所以也许只有在剩下的时间很短的情况下才这样做，例如将其设置为 30 分钟，如果仅剩 5 分钟，则重新创建并重写 cookie。这样您就不会为每个请求都编写 cookie。
表单身份验证票的工作方式也大致相同。以下是有关身份验证票如何工作的一些信息support.microsoft.com/kb/910443

【解决方案2】：

也许我说的很傻，但是过去我也遇到过类似的问题，我通过简单地将会话过期时间设置为大于登录的过期时间来解决它。 Whenerver，您可以使用刷新会话数据的安全令牌进入网站 b，因此可以确保它们将在用户登录的整个过程中持续存在。会话具有更长的持续时间这一事实不会引起问题，因为只有登录用户才能使用该数据，并且当新用户登录时，旧会话条目会被替换。

【讨论】：

如果他们关闭浏览器怎么办？这将删除他们的会话；它还会删除他们的身份验证 cookie 吗？
会话和身份验证都由 cookie 处理，只需对它们应用相同的设置即可，唯一的例外是会话到期时间长于登录时间。如果两个 cookie 都设置为非持久性（会话 cookie）...是的。但是会话会继续在服务器上浪费资源，直到会话到期，然后它们的数据结构被清除。

【解决方案3】：

我会将用户的安全令牌存储在表单身份验证 cookie 本身中。 FormsAuthenticationTicket 类包含一个 UserData 属性，您可以在其中包含其他信息。

UserData 属性中指定的值包含在身份验证票证 cookie，并且与其他票证字段一样，是基于表单身份验证系统的加密和验证配置。

这是一个article，描述了如何将附加信息存储到表单身份验证 cookie。

This 是一篇大文章，它解释了很多关于将附加数据存储到表单身份验证中的内容。 cookie 以及如何阅读它。代码是用VB编写的，格式不正确。您必须向下滚动到第 4 步：在工单中存储其他用户数据。

此thread 将快速回答您如何从 cookie 中读取 UserData。

我会去创建一个自定义的ValueProvider，就像描述的here 一样，它将从身份验证中读取安全令牌。 cookie 和 feed 到动作参数。

【讨论】：

我喜欢这个解决方案，因为它很简单，并且可以确保两条数据始终同时存在。

【解决方案4】：

如果User.Identity 比会话更持久，为什么不将令牌作为Claim 存储在身份中？比如：

var claims = new[]
{
    new Claim("access_token", string.Format("Bearer {0}", token)),
};

var identity = new ClaimsIdentity(claims, DefaultAuthenticationTypes.ApplicationCookie);

Request.GetOwinContext().Authentication.SignIn(options, identity);

【讨论】：