asp.net - 不同的用户获得相同的 cookie - .ASPXANONYMOUS 中的值

Question

我的网站允许匿名用户。我发现在重负载下，匿名用户有时会从其他用户那里获取配置文件值。

我首先删除我的 cookie，并在 cookie 值 .ASPXANONYMOUS 中获取有效的唯一值。经过几次请求后，我得到了 .ASPXANONYMOUS 的新值，该值已被其他用户使用。我在日志中看到始终有几个用户在 .ASPXANONYMOUS 中共享相同的值。

我可以在我的日志中看到，2 个或更多用户确实获得了相同的 .ASPXANONYMOUS cookie 值，即使他们具有不同的 IP。

这是 tttp 流量。在第二张图片中，显示了正在变化的 cookie(您必须显示完整尺寸的图片才能读取日志):

可以正常工作的众多请求之一:

alt text http://img413.imageshack.us/img413/2711/log1.gif

然后有一个更改 cookie 的请求 alt text http://img704.imageshack.us/img704/8175/log2.gif

然后使用新的cookie

alt text http://img704.imageshack.us/img704/3818/log3.gif

为了安全起见，我删除了依赖注入(inject)。我不使用输出缓存。

我的 web.config 有以下身份验证设置:

 <anonymousIdentification enabled="true" cookieless="UseCookies" cookieName=".ASPXANONYMOUS" 
      cookieTimeout="30" cookiePath="/" cookieRequireSSL="false" cookieSlidingExpiration="true" />

  <authentication mode="Forms">
        <forms loginUrl="~/de/Account/Login" />
    </authentication>

有人知道我还可以记录什么或者我应该看什么吗？

更新

我现在看到我显示的 http 流量是完全有效的。 .ASPXANONYMOUS 中的值发生变化是因为 cookie 被刷新。该值包含 AnonymousID 和时间戳。

正常情况下，这不会导致用户在 .ASPXANONYMOUS 中具有相同的值。

真正的问题是，每当从 AnonymousIdentificationModule 设置 cookie 时，就有可能有几个用户获得此 cookie。在我的应用程序中设置 cookie 不会产生这种奇怪的副作用。

Answer 1

我遇到了同样的问题，解决方案是关闭调用 SetCookie 的响应的输出缓存。以下是描述此内容的几个链接

• Don’t let your cookie being cached by accident!
• ASP.NET Session Mix-up using StateServer (SCARY!)
• Integrated Pipeline and the kernel-mode cache