注销后 ASP.Net session 未失效

Question

我的登录页面中有一个 ASP.Net 应用程序，我称之为

FormsAuthentication.SignOut 
Session.Abandon() 
Session.Clear() 

但是，Appscan 正在获取 ASPXAUTH cookie 值，然后在注销后能够重新注入(inject) cookie 值以获得对 protected 页面的访问权限。

Microsoft 已承认存在问题，但仅提供建议而不提供修复 - http://support.microsoft.com/kb/900111

有人可以提供如何解决此问题的示例

Answer 1

一种选择是拥有一个 UserSession 表，并在用户登录时向该表中插入一条记录。当您注销时，请删除该条目或将其标记为无效。在安全页面上，验证登录用户是否存在 UserSession，如果不存在，则重定向到登录页面。