フォーム認証の問題

Question

フォーム認証inmy ASP.NET 2.0 Webサイトを使用しています。今日のテストでは、私は大きな問題に直面していました。

認証後、私はデフォルトページcreateuser.aspxを持っています。そのページから私は新しいuser.Itを作成していますうまく動作しています。

すべてのセッションをクリアしてログインページにリダイレクトするログアウトボタンがあります。すべてがうまくいきました。

テスト中、私はドラッグ＆ドロップでcreateuser.aspx urlをリクエストビルダのfiddlerにドラッグアンドドロップして、フィドラー内のテキストボックスの値を変更した後、実行をクリックします。 私は情報がデータベースに保存されていることにショックを受けました。

これは、ログアウト後にすべてのセッション/クッキーが期限切れになり、フィドラーが動作しないため、私はasp.netフォーム認証でいくつかの重要なことを見逃していたことを意味します。

私はあなたの問題をすべて理解してくれることを願っています。解決策を見つけるのを手伝ってください。私は認証クッキーに疑いがあります。私は正しいかどうかわからない？

Answer 1

ウェブアプリケーションからログアウトすると、Cookieがクリアされます。はい。しかし

、フィドラーで以前リクエストをドラッグすると、Builderは認証Cookieをコピーする要求にドロップ。

これは、Fiddlerでリクエストを実行すると、再度有効になっている認証Cookieが送信されているため、CreateUser.aspxのアクションが実際に起動し、新しいユーザーの詳細が保存されることを意味しますデータベースに格納されます。

FiddlerのRequest Headersセクションで、次のものまで.ASPXAUTH =を開始しているCookieの部分を削除します。おそらくASP.NET_SessionIdの値も同様に期待どおりに機能することがわかります。

このような振舞いができないようにするには、「Logged In This Session」というフラグを保存し、「Logout」でもクリアして挿入を実行する前にCreateUserのコードビハインド（または複数のページでこの動作が必要な場合は基本クラス）の値。

---

コメントに対応するための編集：

物事のカップルは、あなたを助ける：

1. をSSLの下で、サイトのこの領域を置く - したがって、それはのために多くの困難になります誰かがトラフィックを傍受する - しかし不可能ではない - 実際には、フィドラーは中間者の攻撃を行い、クライアントに情報を解読させる自己生成証明書を提供することができる。

2. 私が上で述べたように、ユーザーは（クッキーから）認証され、セッションの値がいくつか設定されていることを確認することをお勧めします。セッションをクリアすると、これはもはや存在しませんユーザーがCookieを使用して再検証されたとき。それは認証がセッションタイムアウトとアプリケーションの再起動にまたがることができる方法だと

ASP.NET は、クッキーを再検証する必要があります - アプリケーションはシオマネキからの要求がAであるかどうかを知る方法はありませんすべてのセッションデータを削除しますそれはただ殺されたセッション、またはタイムアウトしたセッション、または前回の再起動前に作成されたセッションです。

---

コメントへのさらなる対応：

Blowdartが正しく指摘するように、セッションと認証クッキーが関連していない、そしてサーバはそれがどこにも発行されたすべての認証Cookieのリストを保持しません。 。したがって、フォーム認証タイムアウト内に発行されたクッキーと、削除されたタイムアウト内で発行されたクッキーとの間にサーバーとの違いはありません。ユーザーがそのクッキー値を再作成した場合、有効なクッキーです。このサポート記事は、クッキー/チケット組み合わせでより多くのINFOMATIONを持っています

Understanding the Forms Authentication Ticket and Cookie

フォーム認証Cookieは、フォーム認証チケットのコンテナに過ぎません。チケットは、各要求とともにフォーム認証Cookieの値として渡され、サーバー上のフォーム認証によって認証されたユーザーを識別するために使用されます。

私はクッキーで認証チケットがユーザーについての他の情報と、サーバーによって受け入れられなかった場合、永続的なCookieが機能しないだろう、早く言って、どんなに多くの場合、ユーザきたように"Remember me next time"を選択すると、サーバーはそれらを覚えていないので、認証状態だけに頼るのではなく、セッションの値（Fiddlerリクエストには存在しないサーバがその情報を破壊するためログアウトした後）。それはユーザーの作成ページが行うことになっているものではありません -

Answer 2

asp.netサイトのSecurity Tutorialsを参照してください。