asp.net - ASP.Net - 状態とセッション変数を追跡するための現在のベスト プラクティスは何ですか?

Question

私たちは、消費者/一般向けの新しい ASP.Net Web アプリを作成しています。2 つの懸念事項があります。

-- Cookie または Cookie を使用しないフォーム認証を使用しますか?

-- Cookie をまったく使用しないことにした場合、Cookie に保存されるはずのデータ (顧客 ID、AffiliateID など) をどのように保存しますか? ASP.Net 認証フレームワークは CustomerID などを追跡しますか?

Answer 1

通常の Web アプリでは、Cookie を使用しない認証を使用する正当な理由はありません。Cookie に対する恐怖は約 10 年前になくなりました。

実際のデータについては、通常、個々の Cookie よりもセッション オブジェクトを選択することをお勧めします。セッション Cookie は、サーバーに保存したセッション データのキーを効果的に提供する単一の値です。マルチサーバー展開など、セッションの使用に問題がある特定の特殊なケースがありますが、ほとんどのアプリケーションでは単純で適切です。

標準のフォーム認証システムはユーザー名を追跡します。通常、セッションに何も保持したくない場合は、データベースから必要なデータを検索するのに十分です。

Answer 2

認証を行う場合、Cookie が通常の方法です。非常に多くのサイトがすでに Cookie に依存しているため、最近では Cookie をオフにすることはほとんどありません。

そうは言っても、ASP.NET は「cookieless」認証をサポートしています。基本的には、認証トークンを URL のパラメーターとして追加するだけです。すべてのアウトバウンド URL を解析して、トークン情報も含まれていることを確認します。個人的には、私はこれを気にせず、Cookie を要求するだけです。Cookie を使用しないようにしようとすると、いくつかの追加の頭痛の種があります (たとえば、検索エンジンはページをクロールするたびに異なる URL を参照するため、SEO が非常に難しくなる可能性があります)。