asp.net - 将用户 ID 存储在 session 变量中

Question

当用户登录时(通过 open-id)，我们将创建一个名为“UID”的 session 变量并将唯一的用户 ID 存储在其中。稍后我们将检查 session 以查看用户是否已登录。我认为这不是正确的方法，但我无法强制团队更改此设置，因为我无法展示如何破解此实现。谁能告诉我为什么(如果是)这个实现不好？

Answer 1

我看不出任何情况下您应该担心通过客户端利用获取服务器端 session 值。由于 OpenID 缺乏地位，有人担心假冒的 OpenID 提供商会诱骗用户传递凭据，但通常这是没有根据的。

实现似乎可以接受，但鉴于您使用的是 ASP.NET，您应该考虑使用 IIdentity 和这个 ASP.NET OpenID 提供程序:

http://code.google.com/p/dotnetopenid/

它经过了很好的测试，内置了相当多的安全代码和 API 支持。