在ASP .NET服務器上存儲會話標記

Question

我是Web新手。現在我正在嘗試使用Cookie開發自定義用戶身份驗證。當用戶登錄時，我使用包含userId和隨機生成的會話令牌guid的cookie提供服務器響應。當用戶請求服務器時，它從請求中提取認證cookie，以便服務器獲取有關userId和用戶會話的信息。

我的問題是：我應該在哪裏存儲和檢查與用戶請求一起出現的會話令牌？如果malefactor會用假的userId和會話令牌僞造cookie，會怎麼樣？

現在我的程序中沒有地方存儲，然後檢查userId和它們的會話標記之間的映射。

Answer 1

要強制執行A​​SP.NET MVC應用程序的安全性，可以使用Anti Forgery Tokens。

我建議你不要實現你的「自定義」用戶認證，但看看ASP.NET Identity。它非常靈活，涵蓋了大部分必要的身份驗證方案。