session - セッションとフォームの Cookie 承認

Question

フォーム Cookie 承認を使用して MVC 4 Web アプリケーションを開発しました。セッション変数と認証 Cookie を一緒に使用する良いアプローチはありますか? ありがとうございました。

Cookieとセッションタイムアウトの間の同期が可能かどうかはわかります。私の調査によると、ライフサイクルが異なるため問題があります。

Answer 1

.NET 4.5 では、Windows Identity Foundation (WIF) がフレームワークのコア部分として組み込まれ、クレーム ベースのセキュリティがフレームワークの不可欠な部分になりました。クレーム ベースのセキュリティを使用すると、カスタム情報を新しいクレームとしてユーザーの ID に簡単に追加できます。Dominick Baier は PluralSight で、Introduction to Identity and Access Control in .NET 4.5という優れたトレーニング コースを提供しています。無料トライアルにサインアップして、このコースを確認できます。Dominick Baier のブログでは、.NET のセキュリティに関する有益な情報を入手することもできます。

Answer 2

わかりました、これが私の答えです。いくつかの調査とコードのテストの後、常に認証 Cookie から情報を読み取ることが最善の解決策です。セッションと Cookie 認証を同時に使用すると、ライフサイクルが異なるため、制御が困難になります。たとえば、有効な Cookie 認証とタイムアウトしたセッションがある場合、次のリクエストでは、ユーザー情報なしでセッションが更新されます。