c# - ASP.NET MVC session 状态超时

Question

假设 session 状态为 not reccomended在 ASP.NET MVC 中。我试图了解在什么情况下使用 session 。我知道使用 TempData 会创建一个 session ，但还有哪些其他情况？我如何配置 session 状态超时以获得更好的安全性是否重要？

<sessionState cookieName="s" timeout="20" />

Answer 1

您引用的已接受答案的部分内容

This tended to lead to an overuse of session, populating "current" variables in session intended to indicate what the current object being interacted with was. This overuse in turn made applications very state-dependent and much harder to determine expected behaviour ("Is this variable populated?" "Do I have the current order ID yet?").

MVC is structured around the idea that your website is a view into a logical model of information. It encourages having stateless operations through the use of simple controllers responding to actions with key information passed as part of the HTTP request

当您的网站需要将某些内容绑定(bind)到特定用户时， session 并不是一件坏事，无论是出于安全还是个性化目的。为此目的使用 session 是正常的、预期的和正常的。

您应该避免在 session 中塞满您在 Web 应用程序中任何地方可能需要的任何和所有信息。花时间学习和理解 MVC 架构，并支持在实际呈现给定页面时加载呈现该页面所需的数据。仅缓存加载成本相对较高或许多/所有页面都需要的内容。

does it matter how I configure the session state timeout for better security?

session 超时期限的主要问题是 session 劫持攻击，它允许中间人拦截 session 信息并从黑客控制的不同设备控制 session 。对于大多数应用程序，我认为默认 session 超时没有任何问题。

另一个问题是人们离开他们的设备而无人看管。这样做的人比您的网站更担心安全问题。