IE VS Chrome 和 Firefox 中的网络安全（错误）

Question

为什么网络安全在不同浏览器上的工作方式不同：

详情：

我有两个应用程序

一个是简单的HTML 应用程序，另一个是ASP.NET MVC4 WebApi 应用程序，项目在同一个解决方案中，我设置了多个启动项目以同时运行应用程序。

---

工作版本：

我在 Web API 项目中使用了 Web Security。我已经全面实施了网络安全......

登录操作代码

// GET api/company
[System.Web.Http.AcceptVerbs("Post")]
[System.Web.Http.HttpPost]
public HttpResponseMessage Login(LoginRequest loginRequest)
{
    try
    {
        if (WebSecurity.Login(loginRequest.EmailAddress, loginRequest.Password, true))
        {
            var userDetails = new string[2];
            userDetails[0] = loginRequest.EmailAddress;
            var currentUSerRole = Roles.GetRolesForUser(loginRequest.EmailAddress);
            userDetails[1] = currentUSerRole[0].ToString();
            HttpResponseMessage response =
                Request.CreateResponse(HttpStatusCode.Accepted, userDetails);
            return response;
        }
        else
        {
            HttpResponseMessage response
                = Request.CreateResponse(HttpStatusCode.Unauthorized);
            return response;
        }
    }
    catch (Exception e)
    {
            HttpResponseMessage response
            = Request.CreateResponse(HttpStatusCode.Unauthorized);
           return response;
    }  
}

当我使用Ajax 调用登录方法时，*WebSecurity.Login* 正在所有浏览器上工作。 但我在另一个控制器中有另一种方法，名为CurrentDateAndUser

代码：

[AllowAnonymous]
[System.Web.Http.AcceptVerbs("Get")]
[System.Web.Http.HttpGet]
public HttpResponseMessage CurrentDateAndUser()
{
    if (WebSecurity.IsAuthenticated)
    {
        int userId = WebSecurity.CurrentUserId;
        string[] currentDateAndUSerId = new string[2];
        currentDateAndUSerId[0] = userId.ToString();
        currentDateAndUSerId[1] = DateTime.UtcNow.ToString();

        HttpResponseMessage response =
            Request.CreateResponse(HttpStatusCode.Accepted, currentDateAndUSerId);
        return response;
    }
    HttpResponseMessage responseNew =
        Request.CreateResponse(HttpStatusCode.NotAcceptable);
    return responseNew;
}

问题：

• 如果我使用 Ajax 调用从 Microsoft Internet Explorer 调用 CurrentDateAndUser 方法，那么一切正常。 WebSecurity.IsAuthenticated 返回 true 并且运行良好。

然而，

• 如果我使用 Ajax 调用从 Google Chrome 或 Mozilla Firefox 调用 CurrentDateAndUser 方法，则没有任何效果。 WebSecurity.IsAuthenticated 总是返回 false。

我不知道为什么。如果您有任何想法，请告诉我。

---

我也发现了一个类似的问题（不确定是不是真的问题）：

当我使用 Fiddler 运行我的应用程序时，我看到了不同的结果：

当我从 IE 调用 CurrentDateAndUser 方法时，请求是：

我可以在上图中看到 Cooke/Login 值

---

但是当我从 Chrome 和 Firefox 调用 CurrentDateAndUser 方法时，请求是：

我看不到 cookie 值，这意味着 Web Security.IsAuthenticated 属性正在返回 false。

---

---

是WebSecurity中的Bug？？？？？？

---

编辑

我的 Ajax 请求代码是

function GetCurrentUserId() { 
    return $.ajax({
        method: 'GET',
        url: rootUrl + '/api/Common/CurrentDateAndUser',
        async: false
    }).success(function (response) {
        return response[0];

    }).error(function () {
        toastr.error('Somthing is wrong', 'Error');
    })
}

当我在 Chrome 和 Firefox 中运行应用程序时，此请求不会将 Auth Cookie 值发送到 Web API 方法，但是，如果在 IE 中运行，此请求会将 cookie 值发送到 API 方法 em>

我已经发布了图片，请看上面的图片

Answer 1

它周围有 3 件事：

WebSecurity.IsAuthenticated 实际上返回 HttpRequest.IsAuthenticated 的值，如果 Forms Authentication cookie 已设置并且是最新的，则返回 true。在用户成功登录后发出下一个请求之前它不可用，这就是您看到您描述的行为的原因。

我记得在 MSDN 或其他地方阅读过，WebSecurity.IsAuthenticated 在页面完全加载之前不起作用。这意味着如果您在页面中登录用户并且在您检查 IsAuthenticated 的同一代码流中，它将不会返回 True。要使 IsAuthenticated 为 True，必须重新加载页面或使用更好的做法；这是在登录成功后立即将用户重定向到另一个安全页面，并在该页面中检查 IsAuthenticated。

我们在使用 Chrome（版本 21.0.1180）时遇到了同样的问题。尽管我们在 Header 上看到了过期日期，但 Windows XP 中的一些 Chrome 忽略了它。然后我们删除了 Expiration Date 并且 Chrome 接受了保持会话 cookie 没有问题。

那么要做的是： 登录后尝试在新页面上检查此内容，而不是在同一页面上。

也尝试显式设置 cookie

System.Web.Security.FormsAuthentication.SetAuthCookie(user.Username, false);

Answer 2

问题根本不在于网络安全，而在于您实施安全性的方式。您绝不应该在 cookie 中使用用户 ID、电子邮件或任何重要的内容。

我建议您使用 FormsAuthentication 类来加密和解密您的 cookie，即使这样，也只存储诸如 SessionID 和该会话 ID 的自定义哈希值之类的内容，以便在您解密 cookie 时验证您自己

这是一个很好的例子：http://www.c-sharpcorner.com/uploadfile/nipuntomar/update-formsauthenticationticket/

Answer 3

我不知道这是否有帮助。

但我记得我正在学习 jQuery ajax 所以我在笔记本电脑上设置了一个简单的项目。当我测试它时，它在 IE 上运行良好，但在 Chrome 中失败了。搜索了几个小时后，我发现 Chrome 不允许来自本地机器的 AJAX 请求。当我使用实际的 Web 服务器对其进行测试时，它在 IE 和 Chrome 上运行良好。

所以我的问题和建议是：您是在同一台机器上进行测试吗？ 尝试将其部署到运行具有唯一域名的 Web 服务器的机器上并测试您的应用程序！