在服务器端使会话 cookie 无效

Question

如何在服务器端删除/使会话 cookie 无效，这样就无法使用被盗的 cookie 登录？

这是我的登录代码：

var claimsPrincipal = new ClaimsPrincipal(new ClaimsIdentity(claims, "Forms"));

var sessionToken = new SessionSecurityToken(claimsPrincipal);
FederatedAuthentication.SessionAuthenticationModule.WriteSessionTokenToCookie(sessionToken);

HttpContext.Current.User = claimsPrincipal;
Thread.CurrentPrincipal = claimsPrincipal;

这是我的退出代码：

FederatedAuthentication.SessionAuthenticationModule.SignOut();

HttpContext.Current.User = null;
Thread.CurrentPrincipal = null;

Answer 1

您可以添加一个基于时间的声明，该声明可以在两个请求之间在服务器上进行验证，以及在身份验证后提供并存储在内存或隐藏字段中的请求验证令牌。