會議

Question

HI的預防轉移，

是否有人現在創建會話不可轉讓的好辦法，這樣的用戶不能移動/從一臺機器複製會話令牌ID到另一個？

謝謝！

Answer 1

爲什麼不加密傳入IP地址的字符串並放置在會話中。然後，在使用會話對象時，您可以通過解密會話中的IP並檢查它對請求IP有效來驗證它。

只是一個想法。讓我知道你是否需要代碼。

Answer 2

將web.config文件中sessionState節點的cookieless屬性設置爲false，以便使用cookie來存儲會話密鑰而不是URL。這裏有幾個關於這一主題的（舊的）文章：

• Top 10 Application Security Vulnerabilities in Web.config Files
• MSDN: Understand How the ASP.NET Cookieless Feature Works

Cookie還沒有完全 「安全」。如果您正在尋找google the topic，它被稱爲session hijacking。