asp.net - 安全 cookie ASP.NET

Question

我有一个代码可以在 cookie 中保留有关用户的信息，例如用户名和密码。

问题是:

在 cookie 中存储像纯文本这样的信息是不安全的。我的数据库存储散列密码，所以我可以将这些散列保存在 cookie 中并稍后检索它们，但如果我这样做，我将无法填充密码的文本框，因为哈希字符串对它来说太长了。

有什么解决办法吗？

Answer 1

您永远不应该以纯文本形式存储密码，即使是散列密码也容易受到反向查找的攻击，除非它被正确加盐。 ASP.NET Forms Authentication 已经允许您创建一个允许用户保持登录状态的持久性身份验证 cookie，因此您应该改用它。在 Creating the Forms Authentication Cookies 时查看超时、过期和 IsPersistant 属性.

或者你可以设置一个 token based authentication系统，用户通过该系统在输入登录信息后获得一个安全 token ，并且该 token 在指定的时间内有效。这就是 Live ID 和 Google 帐户的工作方式，它们通常将 token 存储在 cookie 中，一次有效期为数周。