asp.net - 何时启用表单例份验证滑动过期

Question

我在 MSDN 中读到，如果您的网站未激活 SSL，请将 slidingExpiration 设置为 false。这是为了限制劫机者使用被盗的 authcookie 的时间。

但这没有任何意义。当没有 SSL 时，黑客可以自己获取凭据并使用它们。当他/她有权访问用户名/密码时，他/她为什么要窃取 cookie？

我想说 slidingExpiration 与 enabledSSL 无关。

Answer 1

why should he/she steal the cookie when he/she has access to username/password ?

是什么让您认为他可以访问用户名/密码？ 只有用户名存在于加密的表单例份验证 cookie 中。所以他窃取的是cookie，而不是用户名或密码。他无法解密(除非他使用蛮力)，因此他无法获取原始用户名，也无法更改此用户名。由于此 cookie 中甚至不存在密码，因此他无法获得密码。因此，如果此 cookie 激活了滑动过期，只要它有效，他就可以使用它。

但一般来说，如果您关心安全性，则应始终使用 SSL。