在 ASP MVC 中保存数据的最安全方法答案

【问题标题】：Most secured way to persist data in ASP MVC在 ASP MVC 中保存数据的最安全方法
【发布时间】：2010-11-15 16:14:28
【问题描述】：

我正在使用带有自定义会话行为实现的 ASP MVC 应用程序 + WCF 服务。客户端接收、存储和使用（用于授权）会话令牌。现在我正在寻找最安全的方式来在 ASP MVC 的客户端存储会话令牌。

我看到了几种方法：

隐藏字段。缺点：用户可以打开页面源代码获取token。
路由值。缺点：token实际上是开放的。用户可以从地址栏获取。
会话。我读过很多文章得出一个结论：在 MVC 应用程序中使用 Session 是一种不好的做法。但是Session也有很多优点：可以广泛已配置，可以在服务器端存储令牌等。

我确信有一些最佳实践可以解决我的问题。任何帮助将不胜感激。

【问题讨论】：

您可能会发现 Jeff Atwood 的帖子很有趣codinghorror.com/blog/2010/11/breaking-the-webs-cookie-jar.html
"在 MVC 应用程序中使用 Session 是一种不好的做法" - 需要引用吗？

【解决方案1】：

需要 HTTPS 连接，加密安全数据，放入 cookie。

您还可以在您的网站周围传递令牌，当然通过隐藏字段或其他方式进行加密，但您的场景实际上是 cookie 的用途。

我的银行设置了一个 cookie，它们应该足以满足您的需求。

【讨论】：

当然我使用的是 https 和加密。但是为什么你建议使用cookies？他们有哪些好处？它们是客户端（您至少可以将会话存储在服务器端）。
@zenonych。即使您在服务器端存储会话，您仍然在用户浏览器中设置 cookie。除非您计划在每个 get 和 post 请求中传递查询字符串或隐藏输入，否则您无法避免使用 cookie。