c# - 这些 Web 应用程序需求是否现实？

Question

我们的客户想要一个具有用户管理和不同角色的 ASP.NET Web 应用程序，但有一些非常奇怪的条件:

• 该应用程序应该在浏览器中运行，用户应该能够根据他们给定的权限登录并执行操作。 (到目前为止很容易)
• 典型的情况是许多具有不同用户权限的人在同一台机器、相同的 Windows 帐户和相同的浏览器上工作。 (反过来)他们仍然不应该能够访问其他用户已经看到的数据或使用他们的帐户做任何事情。

对我来说这可能意味着:

• 我不能使用任何类型的缓存。
• 我不能使用任何类型的 cookie。
• 我不能对 GET 参数做任何重要的事情。
• 我必须非常小心 session 。

我仍然不知道如何(肯定地)阻止浏览器端缓存。我们试图解释这种东西就是 Windows 帐户的用途，但他似乎非常一致地希望将所有内容都保存在一个帐户中。

这是一个现实的要求吗？在实现具有此类安全要求的应用程序时我必须牢记什么？

我以前开发的应用程序从来没有遇到过这个问题，所以我不太确定如何处理这个问题。

Answer 1

Are these web application requirements even realistic?

是的。在线银行应用程序通常通过在一段时间不活动后放弃 session 来实现此目的。此外，如果您关闭浏览器， session 应该被放弃。手动注销是个好主意。

其他几点

I can't use any type of caching.

不在网络浏览器上，但 session 缓存没问题。

I can't use any type of cookies.

session cookie 除外

I can't do anything important over GET parameters.

是的

I have to be very careful about sessions.

这可能总是一个好主意。