asp.net - 如何保持 Auth-Cookie 和 (ASP.NET) Session 同步？

Question

我们正在开发一个 ASP.NET vNext 项目，我们正在实现简单的基于 cookie 的身份验证。

我们考虑使用 auth-cookie 来验证用户是否已通过身份验证。它是这样创建的:

HttpContext.Authentication.SignInAsync();

用户对象本身将保存到 session 缓存 (ISession)。

• 这是一种可以使用的做法，还是我们以完全错误的方式思考这个问题？
• 如果基本思路是正确的，我们如何保持 auth-cookie 和 session 同步？ (在 session 缓存中具有用户对象的未经身份验证的用户会很糟糕)

请注意，不仅用户对象应该存储在 session 中。有一堆信息应该存储在那里(仅当用户通过身份验证时)。

感谢您的意见!

Answer 1

考虑到您的要求，您是否可以选择使用 Cookie middleware在请求之间保留用户并使用 Claims-based authorization保留您想记住的有关用户的其他信息？

因此，在 Configure 方法的 Startup 类中，您将添加 cookie 中间件，例如:

            app.UseCookieAuthentication(options =>
        {
            options.AuthenticationScheme = "Cookies";
            options.AutomaticAuthenticate = true;
            options.AutomaticChallenge = true;
            options.LoginPath = new PathString(@"/account/login");
            options.AccessDeniedPath = new PathString(@"/account/accessdenied");

        });

然后在 ConfigureServices 中，您可以设置您需要的声明，例如:

   services.AddAuthorization(options =>
{
    options.AddPolicy("EmployeeOnly", policy => policy.RequireClaim("EmployeeNumber"));
});

请考虑有关如何进行设置的完整文档的链接。