ASP.Net MVC3 サイトで Cookie を使用しない認証とセッションを有効にしました。私たちが遭遇した問題は、ユーザーをログアウトしても、Cookie のない文字列に保存されている既に作成された Cookie/セッションが無効にならないことです。シナリオは次のとおりです。
ユーザーはサイトにログインし、Cookie を使用しない認証を使用して登録およびログインします。ユーザーの URL に Cookie のないチケットが含まれるようになりました。ユーザーは、デスクトップ ショートカットを作成するか、コピー アンド ペーストして URL をコピーします。
ユーザーがサイトからログアウトすると、 FormAuthentication.SignOut() が呼び出されてチケットが無効になり、ログオン ページにリダイレクトされます。
ユーザーはその URL を任意のブラウザーにコピー アンド ペーストしたり、別のコンピューターに移動したりするだけで、既にログアウトしていても、サイトはその認証チケットを受け入れます。深刻なセキュリティ リスクを引き起こします。
クッキーレスかどうかにかかわらず、以前のすべてのクッキーを無効にする方法はありますか? 現在、私たちのプロセスは Cookie ベースのセッション/ログインで機能します。cookieless のソリューションが必要なだけです。
これまでに見つかった唯一の解決策は、データベース内のすべての Cookie を追跡し、データベース内の Cookie を無効にし、データベースをチェックして現在の Cookie がまだ有効であることを確認することです。これはパフォーマンスに大きな影響を与えるため、先に進む前に、これが唯一の最適なソリューションであることを確認したいと考えています。
ありがとう