asp.net - asp.net 中 User.Identity 中的 Ticket.UserData 有多安全

Question

我的网站使用 ASP.NET 的表单例份验证，并且我将用户特定信息插入身份验证票证/cookie 的 UserData 部分。由于 UserData 位于身份验证票内，因此它是这样加密的

authCookie.Value = FormsAuthentication.Encrypt(newTicket);

现在我不太担心数据会被泄露，因为它是加密的。但我注意到数据以未加密的形式提供，如下所示

FormsIdentity fid = User.Identity as FormsIdentity;
string plainTextUserData = fid.Ticket.UserData;

数据本身并不是太重要。即使其他人可以看到我仍然可以。但我不能允许人们劫持这些信息并开始将其用作自己的信息。例如，我不希望一个用户冒充其他用户登录(基于 UserData 中包含的 userID

这是我必须担心的事情吗？

编辑1:

我想这样做的原因是我可以停止使用 session ，只使用 cookie 和 Ticket.UserData

编辑2:

Ticket.UserData 中的数据没有改变。一旦用户登录，它就保持不变。

Answer 1

i need more data on certain pages depending on what the user does. right now i am using sessions but now i want to move everything over into cookies. it's not a lot of data so i figured i could piggyback everything into the auth ticket/cookie

@jorsh1 根据您对 @Portman 的推荐，Ticket.UserData 不是存储更改数据的地方。您不希望在从一个页面转到另一页面时始终重新创建身份验证票证。

通过 session 服务或Sql Server使用 session 数据。如果您不希望 session 中的数据，并且数据很小且不敏感，则可以使用 cookie。 (*)

带有 UserData 的 MS 规范示例是存储诸如角色列表之类的内容，以便您可以说“我认为这个用户是管理员吗”之类的内容，但如果它是类似管理员角色的内容，您可能会点击在您隐式信任 cookie 中的内容之前要检查数据库。

string plainTextUserData = fid.Ticket.UserData;

这仅在您的应用程序中起作用，因为 Asp.Net 已经为您解密了票证。但是，如果您想设置数据 IIRC，您需要重新创建并重新附加表单例份验证 cookie。

FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
    currentTicket.Version + 1,
    currentUser.UserName,
    now,
    now.Add(formsAuthentication.Timeout),
    false,
    "new user data string",
    FormsAuthentication.FormsCookiePath);

string hash = FormsAuthentication.Encrypt(ticket);
HttpCookie cookie = new HttpCookie(
    FormsAuthentication.FormsCookieName,
    hash);

Response.Cookies.Add(cookie);

另一个应用程序无法解码此票证，除非它知道解密 key 或者它是暴力破解的。如果您对应用程序进行负载平衡或使用网络花园，you even need to keep the keys in sync.

* 我不支持在 session 中存储内容。通常还有另一种方法来保存该数据。

<小时/>

[编辑]我使用 session 的目的:

我经常发现自己做的唯一一件事就是在基于 session 服务器的 session 中存储用户关键数据的精简版本。然而，我们使其透明加载，并确保不重复票证中的内容。

这样我们就不会暴露 cookie 中的任何敏感内容，并且我们不依赖 session 。我们还设置了积极的 session 回收。结合 session 中存储的少量数据， session 不会给我们带来问题，并且由于只有一段代码知道 session 中的内容，因此我们可以轻松重构它。

对于其他任何事情， session 都是邪恶的。我更喜欢在需要它的页面中维护 View 状态，或者只是将临时状态保留在数据库中。