ASP.NET Core MVC 会话身份验证 cookie

Question

我有一个使用 ASP.NET Core MVC 的网站。它在 Azure 中作为应用服务托管。针对 Azure AD 进行身份验证。

身份验证 cookie 是会话 cookie。

有没有办法强制所有现有的会话 cookie 无效？回到 .NET Web 窗体的时代，我会回收应用程序池或更改机器密钥。

我不在乎 cookie 是否仍然存在，我只是希望它们不再被我的网络应用程序接受。

Answer 1

在 ASP.NET Core 应用程序中或要使 auth cookie 无效，您需要删除加密密钥。我在 Azure 上托管我的网站，加密密钥存储在 %HOME%\ASP.NET\DataProtection-API 中。该目录中将存储一个或多个 XML 文件，这些是键。删除 XML 文件并重新启动 Web 应用程序（您必须重新启动 Web 应用程序，因为密钥存储在内存中）。

我遇到了一个问题，我已经扩展了我的 Web 应用程序并且两个 Web 应用程序同时启动。这导致每个应用程序创建自己的密钥并且（更重要的是）不知道其他应用程序的密钥。为了帮助防止这种情况发生，我执行了以下步骤：

1. 将我的应用服务缩减到 1 个实例
2. 删除 XML 文件
3. 重新启动 Web 应用程序
4. 从 Web 应用程序请求页面（确保已重新启动）
5. 扩展我的应用服务备份