Asp.net 表单例份验证 cookie 不支持 IIS7 超时

Question

身份验证 cookie 似乎在短时间(一天左右)后超时。我正在使用表单例份验证，并在 web.config 中设置了 timeout="10080"和 slideExpiration="false"。使用该设置，cookie 应在用户成功通过身份验证后大约 7 天到期。

这与 IIS6 的广告一样有效，但是当我将站点移至 IIS7 时，cookie 过期得更快。我已经在使用 IE 和 Firefox 的多台机器上确认了这种行为，让我相信这是一个 IIS7 设置。

是否有特定于 IIS7 的与身份验证相关的隐藏设置？除匿名用户跟踪外，该网站的所有其他身份验证类型均已禁用。

Answer 1

身份验证 cookie 使用 machineKey 加密。来自本地的值 web.config或全局machine.config .如果没有明确设置这样的 key ，将自动生成一个 key ，但它不会持久化到磁盘——因此，每当应用程序由于不事件而重新启动或“回收”时，它就会改变，并且将在应用程序上创建一个新 key 下一个打击。

解决问题就像添加 <machineKey> 一样简单配置部分到 web.config ，或者可能(最好是？)到 machine.config在服务器上(未经测试):

<system.web>
  ...
  <machineKey 
    validationKey="..."
    decryptionKey="..."
    validation="SHA1"
    decryption="AES"/>
  ...
</system.web>

Google generate random machinekey对于可以为您生成此部分的网站。但是，如果您的应用程序处理 secret 信息，您可能希望自己创建 key 。