c# - 强制 SSL session 在服务器或客户端超时

Question

我的 asp.net mvc 5 应用程序在 IIS 上配置为需要 SSL 和客户端证书才能进行身份验证。我还希望用户能够通过单击链接/按钮(SSL session ，而不是 HTTP。从未创建过 HTTP session )来终止该 session 。

关闭浏览器似乎适用于所有浏览器。如果我这样做，下次我尝试访问该站点时，我将被迫开始一个新的 SSL session (即选择一个客户端证书来进行身份验证)。实际上，关闭浏览器会清除其 SSL 缓存。

如果我可以使用 javascript 在客户端以编程方式执行此操作，那就太好了。或者，最好是，我想使用 C# 强制服务器在 SSL session 结束时过期，这样会更好。

此问题已被问过两次，给出了 0 个答案。我正试图重新审视它，希望 PKI 身份验证现在比 2-4 年前更普遍:

IIS - Reset SSL Session Programmatically

Is it possible to close/manage a SSL connection/session on IIS?

Answer 1

SSL session 要么为客户端和服务器所知，要么为未知。没有用于删除浏览器上特定 session 的 API，即您所能做的就是关闭浏览器。服务器端的情况类似，特别是如果使用无状态 session 票证来维护 session 。在这种情况下，无法删除特定 session ，但只能更改用于创建这些票证的服务器端 secret ，这会导致使用此 secret 创建的所有 session 都无效。