c# - 身份 MVC5 中的特权升级和 session 劫持

Question

我在我的应用程序中使用 asp.net identity 2.0 进行身份验证(Owin 中间件)。 session 劫持:当我登录身份创建 AspNet.ApplicationCookie.then，我复制了 AspNet.ApplicationCookie 值。然后我从应用程序注销。注销后，我手动创建 cookie(AspNet.ApplicationCookie)并刷新它重定向我的主页。

权限升级:同时，我以用户 A 身份登录。我复制了(AspNet.ApplicationCookie)他的 cookie，然后我注销了。在我以用户 B 身份登录后，我正在编辑用户 B Cookie 并粘贴用户 A cookie 并保存。刷新后我可以获得 UserA 访问权限和身份验证的浏览器。

当我注销时，我正在清除所有 session 并删除所有 cookie。即使 Asp.Net identity(Owin) 每次都会生成新的 AspNet.ApplicationCookie。但它仍然接受旧 cookie 并给我访问权限。我不知道为什么？谁能告诉我如何在注销后使旧的 AspNet.ApplicationCookie 失效。这是我在 Startup.Auth.cs 中的代码

 public void ConfigureAuth(IAppBuilder app)
    {
        // Enable the application to use a cookie to store information for the signed in user
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login")
        });
        // Use a cookie to temporarily store information about a user logging in with a third party login provider
        app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);


    }

//这是注销代码

    public ActionResult LogOff ( )
    {
        //Delete all cookies while user log out
        string[] myCookies = Request.Cookies.AllKeys;
        foreach ( var cookies in myCookies )
        {
            Response.Cookies[ cookies ].Expires = DateTime.Now.AddDays(-1);

        }
        Request.GetOwinContext( ).Authentication.SignOut(Microsoft.AspNet.Identity.DefaultAuthenticationTypes.ApplicationCookie);

        // AuthenticationManager.SignOut( );
        Session.Clear( );
        Session.RemoveAll( );
        Session.Abandon( );
        return RedirectToAction("LoginPage", "Account");
    }

//这是我的登录 Controller 代码

 public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
    {
        if (ModelState.IsValid)
        {
            var user = await UserManager.FindAsync(model.UserName, model.Password);
            if (user != null)
            {
                await SignInAsync(user, model.RememberMe);
                return RedirectToLocal(returnUrl);
            }
            else
            {
                ModelState.AddModelError("", "Invalid username or password.");
            }
        }

        // If we got this far, something failed, redisplay form
        return View(model);
    }

Answer 1

这是设计使然。允许您从多个浏览器登录并仅在您单击“注销”的浏览器中注销，而不是所有其他浏览器。

但是在注销时，您可以更新用户的 SecurityStamp，然后将安全戳验证期设置为很短的时间。

这将更改安全标记:

await userManager.UpdateSecurityStampAsync(user.Id);

将其放入您的注销方法中。

并在您的Startup.Auth.cs中以这种方式修改UseCookieAuthentication:

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login")
    Provider = new CookieAuthenticationProvider
    {
        // Enables the application to validate the security stamp when the user logs in.
        // This is a security feature which is used when you change a password or add an external login to your account.  
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(1), // set this low enough to optimise between speed and DB performance
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager)),
    }
});            

这种方法的唯一缺点 - 当注销程序未执行时 - 什么也不会发生。当注销发生时，它会注销所有其他 session 。