1

使用する場合

<authentication mode="Forms">

  <forms

  cookieless="UseUri"

  slidingExpiration="true"

  timeout="60"

  />

</authentication>

この変更を行うと、匿名ユーザーとしてアクセスすると、URLは以前とまったく同じように表示されます。たとえば、Default.aspxページにアクセスすると、ブラウザのアドレスバーに次のURLが表示されます。

http://localhost:2448/default.aspx

ただし、ログインすると、フォーム認証チケットがURLに埋め込まれます。たとえば、ログインページにアクセスしてSamとしてログインすると、Default.aspxページに戻りますが、今回のURLは次のとおりです。

http://localhost:2448/(F(jaIOIDTJxIr12xYS-VVgkqKCVAuIoW30Bu0diWi6flQC-FyMaLXJfow_Vd9GZkB2Cv-rfezq0gKadKX0YPZCkA2))/default.aspx

注： Cookieなしの認証チケットは、認証チケットがURLに直接埋め込まれているため、リプレイ攻撃を受けやすくなります。Webサイトにアクセスしてログインし、そのURLを同僚への電子メールに貼り付けるユーザーを想像してみてください。有効期限が切れる前に同僚がそのリンクをクリックすると、メールを送信したユーザーとしてログインします。

これは、Cookieなしの認証を使用する場合に考えられる欠点のひとつです。このアプローチの他の考えられる欠点を知りたいと思っています。

ありがとう

4

1 に答える 1

4

短所：

  1. URLに保存できるデータの量が限られている（特にモバイルおよびWindows 2003プラットフォームの場合）
  2. Cookieリプレイ攻撃（すでに述べたように）-sslを使用して回避でき、タイムアウトを使用して制限できます。
  3. あなたのURLは長く見え、「きちんとした」ものではありません。
于 2012-04-11T11:43:35.233 に答える