認証チケットにasp.netメンバーシップのユーザーIDが格納されていないのはなぜですか？

Question

認証クッキーのUserDataエリア（Storing and accessing a legacy UserID in asp.net membership）に自分のuserid（int）を保存することで、自分のUserテーブルをasp.netメンバーシップにリンクしたいと考えていました。

私のアプリケーションは私自身が使用するもので、asp/c＃の学習に役立つので、私のデータベースを逆に使ってメンバーシップを調整するという作業を比較することをお勧めします。それに応じてデータベースを調整してください）。

guid（uniqueidentifier）UserIDを私のすべてのユーザー関連テーブルの外部キーとして使用するように変換すると、私のアプリケーションでUserIDに簡単にアクセスできるようにする必要があります。

Guid userID = (Guid)Membership.GetUser().ProviderUserKey; 

私が正しく理解していれば、これはデータベースの読み込みが含まれています。おそらく私は気まずいですが、毎回のリクエストで少し不必要なようです。私はチケットに入れたいと思うだろう。私はPK値をチケット（guidまたはint）に入れても問題は見られません。セキュリティリスクはありますか？メンバーシップは、サロゲートではなくキーとしてUserNameを使用するとうれしいようです。それでは、なぜUserIDをチケットに入れなかったのだろう？

Answer 1

クッキーとURLが実用的な最大の長さがある - FormsAuthenticationTicket.UserDataドキュメントの状態：あなたはUserDataプロパティに格納されるデータの量を制限する必要があります

」を あなたはUserDataプロパティのサイズがないことを確認する必要があります無効なCookieまたはあまりに長いURLのの結果ではありません "

ASP.NETは、認証チケットをURLに格納するcookieless forms authenticationを使用するように設定できます。この場合、ASP.NET ISAPIフィルタは、チケット情報を削除してからURLを書き換えるための余分な作業も必要です。

その理由の一部は、おそらくデフォルトのCookie/URLの長さを最小限に保つというトレードオフに起因する可能性があります。暗号化されたシリアル化されたGuidをチケットに保存すると、Cookie/URLの長さが増えます。 UserDataに格納できるデータの量をさらに制限します（多くは許されません）。

Answer 2

IPrincipleを実装する独自のUserPrincipleを書くことができます.IPrincipleはuserIDを一度与えることができ、実際にデータベースにアクセスすることなくアプリケーションのどこでも呼び出すことができます。 それでも必要な場合は、cookieでuserIdを使用できます。